[Configuración] Qué es NAT y cómo se configura en un Firewall

[Carlos Rodríguez]

NAT (Network Address Translation) es una función que permite traducir una dirección IP en otra cuando el tráfico atraviesa un router o firewall.

Su uso más habitual es permitir que varios dispositivos con direcciones IP privadas accedan a Internet utilizando una dirección IP pública.

Ejemplo práctico

Un computador tiene la IP privada:

192.168.10.50

Cuando se conecta a Internet, el firewall reemplaza esa dirección por su IP pública:

200.10.20.30

El sitio web ve la IP pública, mientras que el firewall mantiene una tabla para devolver la respuesta al computador correcto.

𝐓𝐢𝐩𝐨𝐬 𝐩𝐫𝐢𝐧𝐜𝐢𝐩𝐚𝐥𝐞𝐬 𝐝𝐞 𝐍𝐀𝐓

Source NAT (SNAT)
Modifica la dirección IP de origen. Se utiliza normalmente para permitir la salida de una red privada hacia Internet.

Destination NAT (DNAT)
Modifica la dirección IP de destino. Se utiliza para publicar un servidor interno en Internet.

PAT (Port Address Translation)
Permite que muchos equipos compartan una sola IP pública, diferenciando cada conexión mediante puertos.

𝐂𝐨́𝐦𝐨 𝐬𝐞 𝐜𝐨𝐧𝐟𝐢𝐠𝐮𝐫𝐚 𝐞𝐧 𝐮𝐧 𝐟𝐢𝐫𝐞𝐰𝐚𝐥𝐥

Para crear una regla NAT normalmente se debe definir:

Zona o interfaz de origen
Desde dónde comienza la conexión, por ejemplo, la red LAN.

Dirección IP de origen
La red privada que será traducida, por ejemplo:

192.168.10.0/24

Zona o interfaz de destino
Hacia dónde se dirige el tráfico, por ejemplo, Internet.

Dirección de destino y servicio
Puede ser cualquier destino o limitarse a una IP y puerto específicos.

Tipo de traducción
Se define si se modificará la IP de origen, destino o ambas.

Dirección traducida
La IP que utilizará el firewall después de aplicar NAT.

𝐄𝐣𝐞𝐦𝐩𝐥𝐨 𝐝𝐞 𝐬𝐚𝐥𝐢𝐝𝐚 𝐚 𝐈𝐧𝐭𝐞𝐫𝐧𝐞𝐭

Origen: 192.168.10.0/24
Destino: Internet
Traducción: IP pública del firewall
Tipo: Source NAT / PAT

También se necesita una política de seguridad que permita el tráfico desde la LAN hacia Internet. La regla NAT traduce las direcciones, pero por sí sola no autoriza la comunicación.

𝐄𝐣𝐞𝐦𝐩𝐥𝐨 𝐩𝐚𝐫𝐚 𝐩𝐮𝐛𝐥𝐢𝐜𝐚𝐫 𝐮𝐧 𝐬𝐞𝐫𝐯𝐢𝐝𝐨𝐫 𝐰𝐞𝐛

IP pública: 200.10.20.30
Puerto público: TCP 443
Servidor interno: 192.168.10.100
Puerto interno: TCP 443
Tipo: Destination NAT

Cuando alguien accede a 200.10.20.30:443, el firewall traduce el destino y envía la conexión al servidor 192.168.10.100:443.

Importante: NAT no es lo mismo que seguridad. Una implementación correcta también debe considerar reglas de acceso, rutas, zonas, registros y únicamente los puertos necesarios.

Pregunta para la comunidad:
¿Has configurado NAT en Cisco, FortiGate, Palo Alto u otra plataforma?