¿Qué es NAT?

La traducción de direcciones de red (NAT) es el proceso de reescribir las direcciones IP en las cabeceras de los paquetes a medida que el tráfico atraviesa un dispositivo, asignando direcciones de un espacio de direcciones a otro. Permite que las redes creadas con direcciones IP privadas y no registradas accedan a Internet pública a través de un pequeño conjunto de direcciones públicas compartidas.

Puntos clave

• El NAT reescribe las direcciones IP de origen o destino cuando los paquetes pasan por un dispositivo.
• El NAT estático asigna de forma permanente una dirección privada a una dirección pública.
• El NAT dinámico y el NAPT comparten un conjunto de direcciones públicas entre varios hosts.
• El NAT permite ahorrar las escasas direcciones IPv4 públicas y oculta la topología interna.
• Versa configura todos los modos NAT mediante grupos y reglas CGNAT en VOS.

En esta página: Por qué es importante · Cómo funciona · Tipos · NAT y Versa · Preguntas frecuentes

¿Por qué es importante el NAT?

El NAT resolvió el agotamiento de las direcciones IPv4 mucho antes de que el sector completara la transición a IPv6, y es en gran parte la razón por la que dicha transición aún no ha concluido. En lugar de asignar a cada dispositivo una dirección IPv4 pública, que es un recurso escaso, una organización asigna direcciones a los hosts internos a partir de rangos privados y realiza la traducción únicamente en el perímetro de la red, compartiendo un puñado de direcciones públicas entre toda una oficina o una base de abonados.

Las ventajas en materia de seguridad son inseparables de las relacionadas con el direccionamiento: el direccionamiento interno nunca aparece en la Internet pública, por lo que el NAT también oculta la topología de una red a los observadores externos, actuando como un filtro rudimentario, ya que una conexión entrante no solicitada carece de una asignación preexistente a través de la cual pueda acceder. Por eso, hoy en día, el NAT se encuentra en prácticamente todos los perímetros de red, desde un router doméstico hasta el núcleo de un operador.

¿Qué es NAT?

Un dispositivo compatible con NAT —un router, un cortafuegos o un dispositivo SD-WAN— reescribe la dirección IP de origen o de destino, y a menudo también el puerto, en la cabecera de un paquete a medida que este pasa por él, y luego realiza un seguimiento de la asignación para que el tráfico de retorno pueda encontrar el camino de vuelta. El dispositivo consulta las reglas que definen qué tráfico debe traducirse y un conjunto de direcciones a las que debe traducirse.

Hay dos características que definen la mayoría de las implementaciones: qué dirección se reescribe (la de origen, la de destino o ambas) y cuántas direcciones privadas comparten cada dirección pública (asignación estática uno a uno frente a compartición dinámica de muchos a pocos). Cuando muchas direcciones comparten unas pocas direcciones públicas, el dispositivo también reescribe los puertos de origen —traducción de direcciones de red y puertos (NAPT)— para distinguir entre miles de sesiones simultáneas en una misma dirección. Los tiempos de espera recuperan las asignaciones una vez que una sesión queda inactiva.

Tipos de NAT

Cuatro modos principales cubren la mayoría de las implementaciones. El NAT estático (básico) asigna de forma permanente una dirección privada a una dirección pública; se utiliza cuando un host, como un servidor, debe permanecer accesible en una dirección externa fija. El NAT dinámico obtiene una dirección pública de un conjunto bajo demanda y la libera cuando finaliza la sesión, manteniendo en todo momento una relación uno a uno. El NAPT, también denominado traducción de direcciones de puerto, comparte una dirección pública entre varios hosts reescribiendo además los puertos de origen; este es el modo que se utiliza en la mayoría de las conexiones domésticas y de oficina. El NAT de destino (DNAT) reescribe el destino en lugar del origen, y se utiliza habitualmente para el reenvío de puertos: exponer un servidor interno en una dirección y un puerto públicos.

A mayor escala, el NAT de nivel de operador (CGNAT) aplica el NAPT a toda la base de abonados a partir de un conjunto compartido gestionado por el proveedor, lo cual lo diferencia lo suficiente como para merecer su propia entrada en el glosario.

NAT y Versa

Versa implementa todos los modos NAT mencionados anteriormente como un único servicio configurable. En los dispositivos VOS, los administradores configuran los grupos y las reglas de CGNAT en Director, seleccionando un modo NAT por regla —NAT-44 básico, DNAT-44, NAT-44 dinámico, NAPT-44 y variantes de doble NAT—, tanto si se trata de una única sucursal como de una implantación a escala de proveedor. El mismo motor de reglas gestiona NPT-66 para la traducción de prefijos IPv6 sin estado y NAT64/DNS64 para la interoperabilidad entre clientes que solo utilizan IPv6 y servidores que solo utilizan IPv4.

En Concerto, la función equivalente son las políticas CGNAT integradas en las plantillas principales de SD-WAN, que añaden un modo de reenvío de puertos que simplifica la exposición de un servicio interno sin necesidad de una regla NAT de destino completa. Dado que el NAT reescribe las direcciones de algunos protocolos integradas en su carga útil —FTP, SIP, TFTP—, Versa combina las reglas NAT con las políticas de la pasarela de capa de aplicación para que dichos protocolos sigan funcionando a través de una ruta traducida. VersaEl resumen de artículos de recoge los tutoriales de configuración de NAT y los comandos de verificación de la CLI a medida que se publican.

Preguntas frecuentes

¿Cuál es la diferencia entre NAT y CGNAT?

NAT es el mecanismo general de traducción de direcciones; CGNAT es la aplicación de NAT a escala de operador, en la que se comparte un único conjunto de direcciones IP públicas entre miles de abonados mediante NAPT a gran escala. El NAT convencional suele dar servicio a una sola organización detrás de una pasarela; el CGNAT, en cambio, lo gestiona el proveedor y se comparte entre abonados que no tienen relación entre sí.

¿Cuál es la diferencia entre NAT de origen y NAT de destino?

El NAT de origen reescribe la dirección de origen de un paquete, normalmente en el caso del tráfico saliente que sale de una red privada hacia Internet. El NAT de destino reescribe la dirección de destino, normalmente en el caso del tráfico entrante que llega a un servidor interno; este es el mecanismo que permite el reenvío de puertos y la exposición de servicios internos al exterior.

¿Por qué el NAT interfiere en algunos protocolos de aplicación?

Los protocolos que incorporan direcciones IP o puertos en su carga útil —FTP, SIP, TFTP— dejan de funcionar con un NAT simple, ya que el dispositivo solo reescribe las cabeceras de los paquetes, pero no el contenido de la carga útil. Las pasarelas de capa de aplicación inspeccionan y reescriben esas direcciones incorporadas y abren dinámicamente los «pinholes» correspondientes en el cortafuegos.

¿Ofrece NAT seguridad por sí solo?

El NAT proporciona una seguridad incidental: una conexión entrante no solicitada no tiene ninguna asignación de traducción preexistente que seguir, por lo que se rechaza de forma predeterminada. No sustituye a un cortafuegos: la inspección con seguimiento de estado, las reglas de acceso y la prevención de amenazas siguen siendo los mecanismos que garantizan la seguridad de forma deliberada.

¿Sigue siendo necesario el NAT ahora que existe el IPv6?

Sí, en un futuro previsible. La mayoría de las redes funcionan con doble pila o siguen utilizando únicamente IPv4, y el NAT sigue conectando las redes IPv4 privadas a la Internet pública. Además, el NAT64 permite a los clientes que solo utilizan IPv6 acceder a los servicios que aún solo admiten IPv4 durante una transición que probablemente tardará años en completarse.

Más información sobre NAT

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre NAT, te conviene echar un vistazo a lo siguiente.