Encaminhamento de Portas e PAT

A forma mais comum de NAT é o PAT (tradução de endereços de portas), também chamado de sobrecarga de NAT. Ele permite que centenas de dispositivos compartilhem um único endereço IP público usando números de porta para distinguir suas conversas.

É isso que o roteador doméstico faz: todos os dispositivos atrás dele acessam a internet por meio de um único endereço público, diferenciados apenas pela porta.

Cada conexão TCP ou UDP tem uma porta de origem e uma porta de destino. O PAT atribui a cada conexão interna uma porta de origem exclusiva no endereço público, de modo que cada fluxo seja identificado exclusivamente pela combinação de IP público e porta.

Quando chega uma resposta para determinada porta, o roteador consulta sua tabela para descobrir a qual dispositivo e porta internos ela pertence e então a entrega corretamente.

O PAT mantém uma tabela que associa o IP e a porta de cada dispositivo interno a um par exclusivo de IP e porta públicos. Por exemplo, dois computadores que usam internamente a porta 50000 recebem portas traduzidas diferentes externamente.

Esse mapeamento permite que um único endereço público transporte milhares de conexões simultâneas sem misturá-las, pois cada fluxo tem seu próprio número de porta externo exclusivo.

O PAT funciona muito bem para conexões de saída, nas quais um dispositivo interno inicia a conversa. Mas e quanto às conexões de entrada, quando alguém na internet quer acessar um servidor dentro da sua rede?

O roteador não tem uma entrada na tabela para uma conexão de entrada não solicitada, portanto não sabe para qual dispositivo interno enviá-la e simplesmente a descarta. É nesse ponto que entra o encaminhamento de portas.

O encaminhamento de portas cria uma regra manual: o tráfego que chega ao IP público em uma porta específica é encaminhado para um dispositivo e uma porta internos escolhidos.

Por exemplo, encaminhar a porta pública 443 para um servidor web interno permite que as pessoas na internet acessem esse servidor pelo seu único endereço público, mesmo que ele tenha um IP privado atrás do NAT.

O encaminhamento de portas é usado para hospedar serviços atrás do NAT:

• Um servidor doméstico de web ou de jogos acessível pela internet.
• Acesso remoto a um sistema de câmeras de segurança.
• Um aplicativo hospedado localmente e acessado de fora.

Cada regra associa uma porta externa a um dispositivo interno, abrindo uma passagem específica e controlada pela fronteira do NAT.

Esta regra conceitual encaminha tráfego web externo para um servidor interno. Observe como a porta pública é associada a um dispositivo e uma porta privados.

Para um servidor que precisa estar totalmente acessível, o NAT estático associa um IP público a um IP privado, de forma permanente e individual. Diferentemente do PAT, o servidor interno sempre usa o mesmo endereço público dedicado.

Isso é adequado para servidores que precisam de acesso de entrada consistente e previsível em várias portas, situação em que uma única regra de encaminhamento de portas seria insuficiente.

As regras de encaminhamento geralmente têm como destino portas conhecidas associadas a serviços específicos. O encaminhamento da porta 80 chega a um servidor web por HTTP, o da 443 por HTTPS e o da 25 a um servidor de e-mail por SMTP.

Saber qual porta corresponde a cada serviço é essencial: um número de porta incorreto envia o tráfego para o lugar errado ou para lugar nenhum. Encaminhe sempre apenas as portas exatas de que o serviço hospedado realmente precisa.

Cada regra de encaminhamento de portas abre uma brecha na fronteira do NAT, expondo um dispositivo interno à internet. Esse dispositivo passa a poder ser atacado diretamente, portanto deve receber atualizações, ser protegido e, idealmente, ficar atrás de um firewall.

Abra apenas as portas de que realmente precisa, restrinja os endereços de origem sempre que possível e nunca encaminhe serviços sensíveis, como RDP ou SSH, para a internet aberta sem uma proteção forte.

O PAT permite que vários dispositivos compartilhem um único IP público ao atribuir uma porta exclusiva a cada fluxo, registrada em uma tabela de tradução, o que é ideal para o tráfego de saída. O encaminhamento de portas acrescenta regras manuais para que o tráfego de entrada alcance um dispositivo interno escolhido, enquanto o NAT estático dedica um IP público a um servidor. Cada abertura representa um risco de segurança que deve ser administrado com cuidado.

Teste seus conhecimentos sobre PAT e encaminhamento de portas.

O PAT compartilha um IP público entre vários dispositivos usando números de porta exclusivos para cada fluxo, registrados em uma tabela de tradução, sendo ideal para o tráfego de saída. O encaminhamento de portas associa manualmente uma porta externa a um dispositivo interno para permitir acesso de entrada, enquanto o NAT estático dedica um IP público a um servidor. Cada abertura expõe um dispositivo e precisa ser protegida.