alvaro.gonzalezsotillo@educa.madrid.org

Network Address Translation (NAT)

Álvaro González Sotillo

Created: 2024-09-08 dom 17:53

1. Introducción

  • En un enrutamiento normal IP los paquetes siempre conservan su IP origen y destino, aunque pasen por diferentes routers
    • ¿Qué pasaría si un router cambiase la dirección IP de origen por la suya propia?
    • El destino de la comunicación pensaría que el origen de la misma es ese router
    • La información de vuelta se enviaría al router, no al origen real
    • ¿Esto es deseable? ¿Esto es útil?

2. Enrutamiento

En un enrutamiento normal IP los paquetes siempre conservan su IP origen y destino, aunque pasen por diferentes routers

image/svg+xml192.168.1.254 192.168.1.1 192.168.1.2 192.168.2.254 192.168.2.1 192.168.2.2 192.168.2.3 10.0.0.1 10.0.0.2 Red 192.168.1.0/24 Red 192.168.2.0/24 Red 10.0.00/30 192.168.1.1 192.168.2.3 192.168.1.1 ➡️ 192.168.2.3

Figura 1: Se envía un paquete a otra red

image/svg+xml192.168.1.254 192.168.1.1 192.168.1.2 192.168.2.254 192.168.2.1 192.168.2.2 192.168.2.3 10.0.0.1 10.0.0.2 Red 192.168.1.0/24 Red 192.168.2.0/24 Red 10.0.00/30 192.168.1.1 192.168.2.3 192.168.1.1 ➡️ 192.168.2.3

Figura 2: El paquete pasa por el router local

image/svg+xml192.168.1.254 192.168.1.1 192.168.1.2 192.168.2.254 192.168.2.1 192.168.2.2 192.168.2.3 10.0.0.1 10.0.0.2 Red 192.168.1.0/24 Red 192.168.2.0/24 Red 10.0.00/30 192.168.1.1 192.168.2.3 192.168.1.1 ➡️ 192.168.2.3

Figura 3: El router local lo envía al siguiente router

image/svg+xml192.168.1.254 192.168.1.1 192.168.1.2 192.168.2.254 192.168.2.1 192.168.2.2 192.168.2.3 10.0.0.1 10.0.0.2 Red 192.168.1.0/24 Red 192.168.2.0/24 Red 10.0.00/30 192.168.1.1 192.168.2.3 192.168.1.1 ➡️ 192.168.2.3

Figura 4: El router de la red remota lo envía al destino

3. NAT

  • NATP cambia la dirección IP de origen
    • El origen está en una red privada interna
    • La reemplaza por la IP externa del router
    • También puede cambiar el puerto de origen
  • Deja anotados estos cambios en una tabla de correspondencias
    • Al recibir un paquete de respuesta, deshace el cambio antes de enrutar

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 192.168.1.1 8.8.8.8 23456 80 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen                  

Figura 5: Se envía un paquete de la red interna a Internet

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 192.168.1.1 8.8.8.8 4321 80 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen                  

Figura 6: El router recibe el paquete

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 82.20.30.40 8.8.8.8 4321 80 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen 192.168.1.1:23456 8.8.8.8:80 82.20.30.40:4321                  

Figura 7: Lo envía sustituyendo la dirección IP de origen por la IP pública

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 82.20.30.40 8.8.8.8 4321 80 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen 192.168.1.1:23456 8.8.8.8:80 82.20.30.40:4321                  

Figura 8: El paquete llega a su destino en Internet

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 8.8.8.8 82.20.30.40 80 4321 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen 192.168.1.1:23456 8.8.8.8:80 82.20.30.40:4321                  

Figura 9: El servidor de Internet responde al origen del paquete

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 8.8.8.8 82.20.30.40 80 4321 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen 192.168.1.1:23456 8.8.8.8:80 82.20.30.40:4321                  

Figura 10: El paquete llega a la IP pública del router

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 8.8.8.8 Red privada 192.168.1.0/24 8.8.8.8 192.168.1 80 23456 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen 192.168.1.1:23456 8.8.8.8:80 82.20.30.40:4321                  

Figura 11: El router sabe que él no es el destino final, y deshace el cambio de direcciones

  • ¿Podría 8.8.8.8 comenzar una comunicación con 192.168.1.1?
    • el router no tendría en su tabla NAT una correspondencia para hacer la traducción
    • Solo las comunicaciones internas añaden entradas a la tabla NAT de correspondencias
    • 8.8.8.8 ni siquiera sabe que 192.168.1.1 existe
  • ¿Cuantas direcciones IP públicas (de pago) necesito utilizar?
    • Solo una, la del router, ya que el resto de ordenadores tendrán una IP privada que será traducida por la tabla NAT

4. Ventajas de NAT

  • El NAT crea un firewall automático y casi imposible de saltar
    • Los equipos externos no pueden iniciar comunicaciones, sólo los internos
    • Los equipos internos ni siquiera existen en Internet
  • El NAT permite compartir una sola IP pública entre muchos ordenadores
    • Ahorro en direcciones IP públicas

5. Redirección permanente de puertos

  • Puede ser interesante que haya entradas NAT permanentes en la tabla de correspondencias
    • Un servidor web en nuestra red local debería recibir todo el tráfico que tenga como destino la IP del router y el puerto 80
    • Programas P2P pueden funcionar mejor redireccionando directamente el tráfico al programa, para que otros peers puedan encontrarnos
  • El puerto internto expuesto no tiene por qué coincidir con el externo

image/svg+xml192.168.1.254 192.168.1.1 82.20.30.40 Red privada 192.168.1.0/24 Internet Tabla de correspondencias NAT Origen Destino Nuevo Origen 192.168.1.1:80 *:* 82.20.30.40:80                  

Figura 12: Servidor Web en 192.168.1.1 expuesto a Internet

5.1. ¿Qué puertos exponer?

  • Cada protocolo tiene un puerto asignado (aunque algunos pueden cambiarse)
  • Hay que referirse a la documentación de cada servicio (o a /etc/services )
Protocolo Puerto(s)
SSH 22
HTTP 80
HTTPS 443
SMTP 25
POP3 110
IMAP 143
FTP 20, 21
VNC 5900
RDP 3389
DNS 53

6. Ejemplo NAT: ICS de Windows

  • Internet Connection Sharing permite compartir una conexión Internet entre muchos ordenadores
  • Un equipo tiene una conexión a Internet (por ejemplo, LAN), y la comparte mediante una conexión (por ejemplo, Wifi)
  • Habilita el enrutamiento, y en la conexión Wifi instala
    • Un servidor DHCP
    • Un servidor NAT
    • Un servidor DNS

7. Ejemplo NAT: TPLink

8. DMZ

  • La zona desmilitarizada la componen los hosts que una empresa expone a Internet
  • Puede configurarse de varias maneras

8.1. DMZ expuesta

8.2. DMZ Host

8.3. DMZ doble firewall

9. Curso Redes empresariales, Seguridad y Automatización v7.02

https://lms.netacad.com/course/view.php?id=1866459

10. Referencias