NAT de origen, de destino y estático

La traducción de direcciones de red, NAT por sus siglas en inglés, reescribe las direcciones de un paquete al cruzar el cortafuegos. Se distinguen tres usos, aunque cada fabricante los nombra a su modo:

• NAT de origen: cambia la dirección de quien inicia la conexión. Es la que permite que muchos equipos internos salgan a Internet compartiendo una o pocas direcciones públicas. Desde fuera solo se ve la pública.
• NAT de destino: cambia la dirección a la que va el paquete. Es la que publica un servicio: Internet llega a una dirección pública y el equipo la reescribe hacia el servidor interno.
• NAT estático: una correspondencia fija de una dirección a otra, uno a uno y normalmente en los dos sentidos.

Ninguna de las tres protege por sí misma: que un servidor interno no tenga dirección pública no impide que una regla y una traducción de destino lo publiquen.

Cada servicio publicado hacia Internet debe aparecer en una traducción de destino con su puerto, y también en una regla de seguridad que lo permita. Una sin la otra no funciona, pero la traducción sola es la que deja el rastro de qué se publica y a dónde.

Abre la consola y consulta traducciones filtrando por las de destino. Hay dos y comparten la dirección pública: se distinguen por el puerto y por el comentario.

Con NAT de origen, el sitio que recibe una conexión no ve la dirección del puesto, sino la traducida. Eso importa en dos lugares: en los registros del sitio externo, que solo conocen la pública, y en los registros del propio cortafuegos, que guardan las dos.

En la consola, consulta las traducciones de origen y busca la de las oficinas.

Una tabla de traducciones revisada de vez en cuando suele esconder una sorpresa: una dirección pública compartida por zonas que no deberían compartirla, o una traducción que ya nadie usa. El primer paso es contar cuántas hay de cada tipo.

La pregunta que más errores produce es qué dirección escribir en la regla de seguridad de un servicio publicado: la pública que ve Internet, o la interna a la que se reescribe. Depende del fabricante: unos evalúan la política con la dirección anterior a la traducción de destino y otros con la posterior, y las zonas se tratan de forma distinta a las direcciones. Por eso una revisión no se hace con la regla de memoria: se lee el criterio del equipo en su documentación.

En este equipo ficticio, el criterio está en la tabla criterio. Léelo y compara con la tabla politica.