¿Qué es NAT? Routers domésticos y redirección de puertos
NAT (Network Address Translation, traducción de direcciones de red) modifica las direcciones de los paquetes en el límite de una red. En una red doméstica, el router suele permitir que varios dispositivos IPv4 con direcciones privadas usen una única dirección IPv4 externa. A menudo cambia también los números de puerto para poder distinguir varias conexiones simultáneas.
El recorrido de una solicitud saliente
Imagine un portátil con la dirección 192.168.1.20 que abre una web a través de su router. El router registra una correspondencia entre la dirección y el puerto internos del portátil y su propia dirección externa con el puerto que elija. La web ve la dirección externa y responde a ella. El router consulta esa correspondencia para enviar la respuesta al portátil correcto, aunque al mismo tiempo un teléfono haya accedido a la misma web. Es un ejemplo simplificado de la traducción habitual de direcciones y puertos; el comportamiento exacto depende del router. El RFC 3022 describe el modelo básico de NAT.
Por qué puede fallar una conexión entrante
Una solicitud no solicitada que llega desde fuera no tiene ninguna entrada correspondiente creada por una conexión saliente. Para alojar un servicio, el administrador puede configurar una regla que redirija un puerto externo a un dispositivo y un puerto locales. Por ejemplo, el puerto TCP externo 8443 podría apuntar a una aplicación web interna concreta. La regla debe indicar el transporte correcto, porque los puertos TCP y UDP son independientes. Antes de abrirlo, confirme que el servicio está mantenido, exige autenticación y realmente necesita ser accesible desde Internet. Que un puerto parezca abierto no demuestra que la aplicación funcione correctamente.
NAT no es una política de cortafuegos
La traducción describe cómo se cambian las direcciones y cómo se asocian las respuestas a las conexiones. La política del cortafuegos decide qué tráfico se permite. Los routers domésticos suelen combinar ambas funciones, y por eso es fácil confundirlas. No confíe en NAT como única barrera de seguridad: una regla de redirección, una función de asignación automática de puertos o un error de configuración pueden cambiar lo que queda expuesto. Después de configurarlo, pruebe el servicio real, no solo el número de puerto. La comprobación de puertos abiertos de 2IP puede darle una señal desde el exterior, pero no confirma que el servicio use una autenticación robusta.
Cómo revisar una regla de redirección que no funciona
Compruebe primero la dirección local del servidor y si responde desde la misma LAN. Verifique después la regla de puerto y transporte del router y el cortafuegos del propio servidor. Compare la dirección externa del router con la que ve un sitio de Internet. Si por encima hay otro router o el CGNAT del proveedor, la regla de su router puede no ser suficiente. No desactive el cortafuegos por completo solo para diagnosticar el problema; revise la regla concreta y los registros de la aplicación.