Reenvío de puertos y PAT

La forma más habitual de NAT es PAT (traducción de direcciones de puerto), también denominada sobrecarga de NAT. Permite que cientos de dispositivos compartan una única dirección IP pública mediante el uso de números de puerto para distinguir sus conversaciones.

Esto es lo que hace su router doméstico: todos los dispositivos que están detrás de él acceden a Internet mediante una única dirección pública y se distinguen únicamente por el puerto.

Cada conexión TCP o UDP tiene un puerto de origen y un puerto de destino. PAT asigna a cada conexión interna un puerto de origen único en la dirección pública, de modo que cada flujo queda identificado de forma única mediante la combinación de IP pública y puerto.

Cuando llega una respuesta para un puerto determinado, el router consulta su tabla para averiguar a qué dispositivo y puerto internos pertenece, y después la entrega correctamente.

PAT mantiene una tabla que asigna la IP y el puerto de cada dispositivo interno a un par único de IP y puerto públicos. Por ejemplo, dos PC que utilizan internamente el puerto 50000 reciben puertos traducidos diferentes en el exterior.

Esta asignación permite que una única dirección pública transporte miles de conexiones simultáneas sin mezclarlas, ya que cada flujo tiene su propio número de puerto externo único.

PAT funciona muy bien con las conexiones salientes, en las que un dispositivo interno inicia la conversación. Pero ¿qué ocurre con las conexiones entrantes, cuando alguien en Internet quiere acceder a un servidor dentro de su red?

El router no tiene ninguna entrada en la tabla para una conexión entrante no solicitada, por lo que no sabe a qué dispositivo interno enviarla y simplemente la descarta. Aquí es donde entra en juego el reenvío de puertos.

El reenvío de puertos crea una regla manual: el tráfico que llega a la IP pública en un puerto específico se reenvía a un dispositivo y puerto internos determinados.

Por ejemplo, reenviar el puerto público 443 a un servidor web interno permite que los usuarios de Internet accedan a ese servidor mediante su única dirección pública, aunque el servidor tenga una IP privada detrás de NAT.

El reenvío de puertos se utiliza para alojar servicios detrás de NAT:

• Un servidor web o de juegos doméstico accesible desde Internet.
• Acceso remoto a un sistema de cámaras de seguridad.
• Una aplicación autoalojada a la que se accede desde el exterior.

Cada regla asigna un puerto externo a un dispositivo interno, y abre una vía de acceso específica y controlada a través del límite de NAT.

Esta regla conceptual reenvía el tráfico web externo a un servidor interno. Observe cómo el puerto público se asigna a un dispositivo y puerto privados.

Para un servidor que debe ser completamente accesible, el NAT estático asigna una IP pública a una IP privada, de forma permanente y uno a uno. A diferencia de PAT, el servidor interno siempre utiliza la misma dirección pública dedicada.

Esto resulta adecuado para servidores que necesitan un acceso entrante constante y predecible en muchos puertos, cuando una única regla de reenvío de puertos no sería suficiente.

Las reglas de reenvío suelen dirigirse a puertos conocidos asociados a servicios específicos. El reenvío del puerto 80 permite acceder a un servidor web mediante HTTP, el 443 mediante HTTPS y el 25 a un servidor de correo mediante SMTP.

Es fundamental saber qué puerto corresponde a cada servicio: un número de puerto incorrecto envía el tráfico al lugar equivocado o a ninguna parte. Reenvíe siempre únicamente los puertos exactos que el servicio alojado necesite realmente.

Cada regla de reenvío de puertos abre un agujero en el límite de NAT y expone un dispositivo interno a Internet. Ese dispositivo se vuelve directamente susceptible de ataques, por lo que debe estar actualizado, reforzado y, preferiblemente, protegido por un firewall.

Abra solo los puertos que realmente necesite, restrinja las direcciones de origen cuando sea posible y nunca reenvíe servicios sensibles como RDP o SSH a Internet sin una protección sólida.

PAT permite que muchos dispositivos compartan una IP pública asignando a cada flujo un puerto único, registrado en una tabla de traducción, lo que resulta ideal para el tráfico saliente. El reenvío de puertos añade reglas manuales para que el tráfico entrante llegue a un dispositivo interno determinado, y el NAT estático dedica una IP pública a un servidor. Cada apertura supone un riesgo de seguridad que debe gestionarse con cuidado.

Compruebe sus conocimientos sobre PAT y el reenvío de puertos.

PAT comparte una IP pública entre muchos dispositivos mediante números de puerto únicos para cada flujo, registrados en una tabla de traducción, lo que resulta perfecto para el tráfico saliente. El reenvío de puertos asigna manualmente un puerto externo a un dispositivo interno para permitir el acceso entrante, y el NAT estático dedica una IP pública a un servidor. Cada apertura expone un dispositivo y debe protegerse.