O que é NAT? Roteadores domésticos e redirecionamento de portas

O NAT (Network Address Translation, tradução de endereços de rede) altera os endereços dos pacotes na borda de uma rede. Em uma rede doméstica, o roteador normalmente permite que vários dispositivos IPv4 com endereços privados usem um único endereço IPv4 externo. Muitas vezes ele também altera os números de porta para conseguir distinguir várias conexões simultâneas.

O caminho de uma requisição de saída

Imagine um notebook com o endereço 192.168.1.20 abrindo um site por meio do roteador. O roteador registra um mapeamento entre o endereço e a porta internos do notebook e o endereço externo do roteador com a porta escolhida. O site vê o endereço externo e responde a ele. Com esse mapeamento, o roteador entrega a resposta ao notebook certo, mesmo que outro celular tenha acessado o mesmo site ao mesmo tempo. Este é um exemplo simplificado da tradução comum de endereços e portas; o comportamento exato depende do roteador. A RFC 3022 descreve o modelo básico de NAT.

Por que uma conexão de entrada pode falhar

Uma requisição não solicitada vinda de fora não encontra nenhuma entrada correspondente, já que nenhuma conexão de saída a criou. Para hospedar um serviço, o administrador pode configurar uma regra que redireciona uma porta externa para um dispositivo e uma porta locais. Por exemplo, a porta TCP externa 8443 pode apontar para uma aplicação web interna específica. A regra precisa indicar o protocolo de transporte correto: as portas TCP e UDP são independentes. Antes de abri-la, confirme que o serviço é mantido, tem autenticação e realmente precisa ser acessível publicamente. Uma porta que parece aberta não prova que a aplicação se comporta corretamente.

NAT não é política de firewall

A tradução descreve como os endereços são alterados e como as respostas são associadas às conexões. Quem decide qual tráfego é permitido é a política de firewall. O roteador doméstico costuma combinar as duas funções, e por isso é fácil confundi-las. Não confie no NAT como única barreira de segurança: uma regra de redirecionamento, um recurso de mapeamento automático ou um erro de configuração podem mudar o que fica exposto. Depois de configurar, teste o serviço de fato, e não só o número da porta. A verificação de portas abertas da 2IP dá um sinal visto de fora, mas não confirma que o serviço usa autenticação forte.

Quando a regra de redirecionamento não funciona

Primeiro, confira o endereço local do servidor e se ele responde dentro da mesma LAN. Depois, verifique a regra de porta e de protocolo no roteador e o firewall do próprio servidor. Compare o endereço externo do roteador com o endereço que um site na internet enxerga. Se houver outro roteador ou o CGNAT do provedor no caminho, só a regra de casa pode não bastar. Não desligue o firewall inteiro só para diagnosticar o problema; examine a regra específica e os logs da aplicação.