Come il NAT condivide un IP pubblico

Internet usa indirizzi IPv4, che sono solo circa 4,3 miliardi, molti meno dei dispositivi oggi connessi. Acquistare un indirizzo pubblico per ogni telefono, laptop e dispositivo è impossibile.

NAT (Network Address Translation) è la soluzione ingegnosa: consente a molti dispositivi di una rete privata di condividere un singolo indirizzo IP pubblico per raggiungere internet, preservando la disponibilità limitata di indirizzi.

Le reti usano internamente intervalli di IP privati (10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16). Questi indirizzi non sono instradabili su internet pubblico, quindi non possono essere usati direttamente online.

Un indirizzo IP pubblico è univoco a livello globale e instradabile su internet. NAT fa da ponte tra i due mondi, traducendo gli indirizzi interni privati nell'indirizzo pubblico visibile su internet.

NAT viene generalmente eseguito sul router o firewall al confine della rete, cioè nel punto di separazione tra la LAN privata e internet pubblico. Il router di casa esegue NAT proprio in questo momento.

Questo dispositivo di confine mantiene l'unico indirizzo pubblico, assegnato dal provider ISP, sulla propria interfaccia esterna e la rete privata su quella interna, eseguendo la traduzione per ogni dispositivo che si trova dietro di esso.

Quando un dispositivo interno invia un pacchetto a internet, NAT riscrive l'indirizzo di origine, sostituendo l'IP privato con l'IP pubblico del router. Per il server di destinazione, il traffico sembra provenire dall'indirizzo pubblico.

Quando arriva la risposta, NAT riscrive la destinazione riportando l'indirizzo privato corretto e consegna il pacchetto al dispositivo interno appropriato, il tutto in modo trasparente.

NAT mantiene una tabella di traduzione che associa ogni comunicazione interna a una esterna, così le risposte possono essere ricondotte al dispositivo corretto. Senza di essa, il router non saprebbe a quale host interno appartiene un pacchetto di ritorno.

Ogni voce registra l'indirizzo interno, l'indirizzo esterno e i dettagli identificativi, consentendo a decine di connessioni simultanee di condividere un solo IP pubblico senza confondersi.

Esistono alcuni tipi di NAT:

• NAT statico: associazione fissa uno a uno tra un indirizzo privato e uno pubblico.
• NAT dinamico: gli indirizzi privati vengono associati, quando necessario, a un pool di indirizzi pubblici.
• PAT (Port Address Translation): molti dispositivi condividono un solo IP pubblico usando i numeri di porta; è la forma più comune nelle reti domestiche.

NAT è stato creato per risparmiare indirizzi, ma offre anche un vantaggio in termini di sicurezza. Poiché i dispositivi interni hanno indirizzi privati e non instradabili, nascosti dietro un unico IP pubblico, Internet non può avviare direttamente una connessione verso di essi.

Non si tratta di un vero firewall e non bisogna considerarlo tale, ma NAT nasconde naturalmente la rete interna e blocca per impostazione predefinita il traffico in ingresso non richiesto.

NAT è diventato essenziale perché gli indirizzi IPv4 sono scarsi. IPv6, con il suo enorme spazio di indirizzamento, assegna a ogni dispositivo un indirizzo globale univoco, quindi il NAT tradizionale è in gran parte superfluo.

NAT è comunque ancora presente ovunque, perché IPv4 è tutt'altro che scomparso. Comprenderlo è fondamentale, anche mentre il mondo passa lentamente all'ampia disponibilità di indirizzi di IPv6.

Immagini una casa con diversi dispositivi, ciascuno con un indirizzo privato come 192.168.1.10 e 192.168.1.11. Il router dispone di un indirizzo pubblico assegnato dall'ISP, ad esempio 203.0.113.5.

Quando un dispositivo naviga sul web, il router riscrive il suo indirizzo sorgente privato in 203.0.113.5 prima di inviare il pacchetto. Tutti i dispositivi condividono quella singola identità pubblica online, mentre la tabella di traduzione del router fa sì che ogni risposta torni al dispositivo corretto.

NAT non è privo di problemi. Può compromettere i protocolli che includono indirizzi IP nei propri dati o che richiedono connessioni in ingresso, come alcune applicazioni vocali (VoIP) e peer-to-peer.

Tra le soluzioni ci sono il port forwarding, gli application-layer gateway e i protocolli progettati per attraversare il NAT. Queste complicazioni sono il prezzo da pagare per estendere così a lungo il limitato spazio degli indirizzi IPv4.

NAT consente a molti dispositivi privati di condividere un solo IP pubblico, preservando i pochi indirizzi IPv4 disponibili. Viene eseguito sul router o firewall di bordo, riscrivendo gli indirizzi sorgente e destinazione e monitorando le comunicazioni in una tabella di traduzione. È disponibile nelle forme statica, dinamica e PAT, offre un effetto collaterale sulla sicurezza ed è in gran parte superfluo con IPv6.

NAT traduce gli indirizzi interni privati in un unico IP pubblico condiviso e viceversa, preservando i pochi indirizzi IPv4 disponibili. Viene eseguito sul router/firewall di bordo, riscrivendo gli indirizzi e monitorando i flussi in una tabella di traduzione, nelle forme statica, dinamica o PAT. Nasconde inoltre gli host interni dal traffico in ingresso non richiesto ed è in gran parte superfluo con IPv6.