Cómo funciona NAT

Muchos dispositivos, una dirección

En casa no hay un solo dispositivo que use internet. El teléfono, la computadora portátil y el televisor se conectan al router, y el router le da a cada uno una dirección que solo sirve dentro de casa. Se llama dirección privada y se parece al número de un piso, que solo tiene sentido dentro de un edificio.
En cambio, internet ve una sola dirección para tu casa: la dirección pública del router. Por eso, cuando los dispositivos salen, el router les quita la dirección privada y pone en su lugar la dirección pública. A esto se le llama NAT, siglas en inglés de traducción de direcciones de red.

Toca un dispositivo de casa para sacarlo. Los tres salen con la misma dirección pública.

Tocaras el dispositivo que tocaras, la dirección de salida era la misma. El teléfono, la portátil y el televisor salieron con la misma dirección pública, así que, vistas desde fuera, las tres peticiones vienen de una sola casa.
Hay una razón para compartir la dirección así. El sistema de direcciones que todavía usa la mayor parte de internet tiene menos direcciones que personas hay en el mundo, de modo que no alcanzan para dar una dirección pública a cada dispositivo de cada casa. Pero compartir una dirección plantea una duda: cuando vuelve una respuesta, ¿cómo sabe el router a qué dispositivo le corresponde?

Anotar quién lo envió

El router lleva un registro de cada petición que sale. Ese registro es la tabla NAT: una línea por petición, con qué dispositivo la envió y a qué servidor de fuera, algo así como "el televisor envió al servidor de video".
También anota el número de puerto que vimos antes. Aunque dos dispositivos envíen peticiones al mismo servidor en el mismo momento, cada línea tiene su propio número de puerto, así que las parejas no se mezclan. Como cada petición que sale deja una línea en la tabla, cuando llega una respuesta al router le basta con consultarla.

Toca un dispositivo para enviarlo afuera. El router anota en la tabla, línea por línea, la pareja dispositivo ↔ petición externa.

Cada vez que enviaste un dispositivo, se sumó una línea nueva a la tabla. Ahora basta con mirar la tabla para saber qué línea es de qué dispositivo.
Esta tabla es el corazón de NAT. La dirección sale reunida en una sola, pero la tabla recuerda quién envió qué. Sus líneas no duran para siempre: si no pasa nada durante un rato, el router las borra. Veamos ahora cómo se usa la tabla cuando vuelve una respuesta de fuera.

Devolver la respuesta

Un servidor de fuera ha enviado una respuesta. Primero llega a la dirección pública de tu casa, es decir, al router. Dentro hay varios dispositivos, así que ¿a quién hay que entregarla?
El router consulta la tabla que anotó antes. Al comparar el número de puerto y el servidor que responde con las líneas de la tabla, ve que es "la respuesta a la petición del televisor al servidor de video". Entonces quita la dirección pública, vuelve a poner la dirección privada del televisor y le entrega la respuesta. Una sola tabla deshace el camino de vuelta.

Mira la respuesta que llegó de fuera, busca su pareja en la tabla y toca el dispositivo correcto para devolverla.

Al tocar el dispositivo que señalaba la tabla, la respuesta encontró su sitio. Al tocar otro dispositivo, no coincidía con la tabla y la respuesta no fue allí.
La dirección quedó reunida en una sola, pero gracias a la tabla nada se confunde. Al salir, muchas direcciones se juntan en una; al volver, la tabla las separa de nuevo. Mientras en casa ves videos y envías mensajes, el router repite este trabajo sin descanso.

Desde fuera no se entra primero

Aquí aparece una ventaja extra. Para que una respuesta entre, hace falta una pareja en la tabla, y esa pareja se creó cuando un dispositivo de dentro envió primero una petición.
¿Y una conexión que empieza desde fuera? En la tabla no hay ninguna pareja así. El router no sabe a quién entregarla, así que simplemente la descarta. Solo las conexiones que empezaron dentro pueden volver. Por eso NAT funciona como un cortafuegos natural.

Toca la respuesta a una petición iniciada dentro y la conexión iniciada desde fuera. Con pareja en la tabla pasa; sin ella se bloquea.

La respuesta a la petición iniciada dentro tenía pareja en la tabla, así que entró sin problema. La conexión iniciada desde fuera no tenía pareja y se quedó en la puerta.
Nadie puso una regla para bloquearla. Ocurre sola porque las respuestas se devuelven según la tabla, y por eso se habla de un cortafuegos "natural". Aun así, NAT no se diseñó para la seguridad, de modo que no basta para proteger una casa. Qué hay que proteger y cómo se trata aparte, en el área de seguridad.

En resumen

En pocas palabras: cada dispositivo de una casa tiene su dirección privada, pero al salir pasa por el router y sale con una sola dirección pública.
El router anota en una tabla quién envió qué y adónde, junto con un número de puerto, y cuando llega una respuesta, consulta la tabla y la devuelve al dispositivo correcto. Así muchos dispositivos comparten una dirección sin confusión. Y como desde fuera no se puede entrar primero, además funciona como cortafuegos natural. Eso es NAT.

Toca en orden los puntos clave para repasar. (sale con una dirección → la tabla recuerda → la respuesta vuelve → cortafuegos natural)

Ahora ya sabes cómo una casa comparte internet con una sola dirección. El camino entre los dispositivos de dentro y el mundo de fuera está listo.
Pero ¿qué viaja de verdad por ese camino? Lo que más hacemos es abrir páginas web en un navegador. La próxima lección trata del acuerdo que usan el navegador y el servidor web para intercambiar páginas web: HTTP.