22.NAT / PAT

NAT (Network Address Translation, traducción de direcciones de red) es lo que hace el router cuando cambia la dirección IP de los paquetes al pasar de la red interna a Internet, y al revés. PAT (Port Address Translation) es la variante que permite que muchos equipos compartan una sola IP pública.

Imagina un edificio de oficinas con un solo número telefónico. Todas las llamadas salen con ese número, y el conmutador recuerda qué extensión hizo cada llamada para pasarle la respuesta a la persona correcta. Las extensiones son las IP privadas; el número del edificio, la IP pública.

En términos técnicos

• Se configura en el router de borde (el que conecta con el proveedor), entre una interfaz inside (red interna) y una outside (Internet).
• Nació para ahorrar direcciones IPv4: la red interna usa direcciones privadas (RFC 1918) que no se enrutan en Internet.
• Está descrito en el RFC 3022 (Traditional NAT).
• PAT (también llamado NAT overload o NAPT) distingue cada conexión por el número de puerto de TCP o UDP.

¿Dónde lo vas a encontrar?

En casi todos los hogares, escuelas y empresas con IPv4. También en los proveedores de Internet que usan CGNAT: comparten una IP pública entre muchos clientes, por eso a veces tu router recibe una dirección 100.64.x.x en lugar de una pública.

Los cuatro nombres de las direcciones

Qué pasa con un paquete (PAT)

1. La PC 192.168.10.20 abre una página: sale con origen 192.168.10.20:50123.
2. El router cambia el origen por 203.0.113.2:50123 (si ese puerto ya está ocupado, usa otro) y anota la traducción en su tabla NAT.
3. El servidor responde a 203.0.113.2:50123.
4. El router busca ese puerto en su tabla, cambia el destino por 192.168.10.20:50123 y entrega la respuesta.

Tipos de NAT

Escenario: LAN 192.168.10.0/24 en g0/0; salida al proveedor en g0/1 con la IP pública 203.0.113.2/30.

1. Marcar las interfaces

R1(config)# interface GigabitEthernet0/0
R1(config-if)# ip nat inside
R1(config-if)# interface GigabitEthernet0/1
R1(config-if)# ip nat outside

2. PAT con la IP de la interfaz (lo más común)

R1(config)# access-list 1 permit 192.168.10.0 0.0.0.255
R1(config)# ip nat inside source list 1 interface GigabitEthernet0/1 overload
R1(config)# ip route 0.0.0.0 0.0.0.0 203.0.113.1

3. NAT estático para publicar un servidor

R1(config)# ip nat inside source static tcp 192.168.10.5 80 203.0.113.2 80

R1# show ip nat translations
Pro  Inside global       Inside local        Outside local      Outside global
tcp  203.0.113.2:50123   192.168.10.20:50123 198.51.100.7:443   198.51.100.7:443
tcp  203.0.113.2:80      192.168.10.5:80     ---                ---

• NAT no es un firewall. Oculta direcciones, pero la protección real la dan las ACL y el firewall.
• La ACL de NAT solo selecciona qué se traduce; no bloquea nada.
• Publica lo mínimo: cada reenvío de puerto expone un servicio interno a Internet. Mantén actualizado ese equipo.
• Con CGNAT del proveedor no puedes recibir conexiones desde Internet aunque configures reenvío de puertos; tendrías que pedir una IP pública.
• IPv6 no necesita NAT para ahorrar direcciones: cada equipo puede tener una dirección global.
• Diagnóstico: si algo funciona en la LAN pero no desde Internet, revisa primero NAT y la ruta por defecto.
• En Packet Tracer funcionan NAT estático, dinámico y PAT con los comandos de esta ficha.

• IETF. RFC 3022 — Traditional IP Network Address Translator (Traditional NAT) (2001). https://www.rfc-editor.org/rfc/rfc3022
• IETF. RFC 1918 — Address Allocation for Private Internets (1996). https://www.rfc-editor.org/rfc/rfc1918
• IETF. RFC 6598 — IANA-Reserved IPv4 Prefix for Shared Address Space (2012), espacio para CGNAT. https://www.rfc-editor.org/rfc/rfc6598
• Cisco Systems. IP Addressing: NAT Configuration Guide (documentación oficial de Cisco IOS).
• Cisco Networking Academy. CCNA: Enterprise Networking, Security, and Automation — módulo de NAT para IPv4.