Home Comunidade Eventos YouTube Networks Desafios // produtos Academy News CTI | CVE Contato

04 - Tipos de NAT (Estático, Dinâmico, PAT)

03 - NAT (Conexão Privado-Público) 05 - IPs Públicos e Privados
video explicativo
Video explicativoEspaco reservado para o video desta anotação — adicione video: https://youtu.be/... no frontmatter da nota.

Tipos de NAT (Estático, Dinâmico, PAT)

1. Introdução

O NAT (Network Address Translation) tem diferentes modos de operação, cada um adequado a um cenário específico. A RFC 2663 ("IP Network Address Translator Terminology and Considerations", 1999) formalizou a terminologia, e a RFC 3022 ("Traditional IP Network Address Translator", 2001) detalhou os modos tradicionais. Os três tipos principais são:

  1. NAT Estático (Static NAT) — mapeamento 1-para-1 fixo.
  2. NAT Dinâmico (Dynamic NAT) — mapeamento 1-para-1 temporário, de um pool.
  3. PAT (Port Address Translation) — também chamado NAT Overload ou NAPT — mapeamento muitos-para-1, usando portas para diferenciar conexões.

Compreender as diferenças entre esses três tipos é fundamental para projetar redes que vão desde uma residência até um provedor de internet.

2. Terminologia Oficial (RFC 2663)

Antes de detalhar os tipos, é necessário conhecer a terminologia oficial:

Termo Significado
Inside Local (IL) IP privado interno, antes da tradução (ex: 192.168.1.10)
Inside Global (IG) IP público atribuído ao host interno, após tradução (ex: 200.150.100.50)
Outside Global (OG) IP público do servidor remoto na internet (ex: 142.250.74.46)
Outside Local (OL) IP como visto internamente (geralmente igual ao OG, exceto em NAT bidirecional)

Esses quatro termos descrevem qualquer cenário NAT. A tabela NAT mapeia IL ↔ IG para conexões de saída, e OL ↔ OG para conexões de entrada.

3. NAT Estático (1-para-1)

Conceito

No NAT Estático, cada IP interno é mapeado permanentemente para um IP externo específico. O mapeamento é configurado manualmente e não muda. É uma tradução 1-para-1 fixa: o IP A interno sempre sai como IP X externo, o IP B interno sempre sai como IP Y externo, e assim por diante.

Aplicações Típicas

  • Servidores internos que precisam ser acessíveis externamente (web, email, DNS).
  • DMZ corporativa: cada servidor público tem um IP público dedicado.
  • VPN site-to-site: cada lado conhece o IP do outro.
  • Acesso a sistemas legados que exigem IP fixo (ex: mainframes com licenciamento por IP).

Configuração Cisco

! Mapeamento estático 1-para-1
ip nat inside source static 192.168.1.10 200.150.100.50
ip nat inside source static 192.168.1.11 200.150.100.51
ip nat inside source static 192.168.1.12 200.150.100.52

Vantagens

  • Simplicidade: cada IP interno sempre sai com o mesmo IP externo.
  • Previsibilidade: logs remotos sempre mostram o mesmo IP para o mesmo host.
  • Conexões de entrada possíveis: qualquer porta pode ser acessada externamente (se o firewall permitir).

Desvantagens

  • Desperdício de IPs públicos: cada host interno consome um IP público inteiro.
  • Não escala: uma empresa com 1000 hosts precisaria de 1000 IPs públicos.
  • Custo alto: IPs públicos são caros e escassos.

4. NAT Dinâmico (1-para-1 temporário)

Conceito

No NAT Dinâmico, há um pool de IPs públicos disponível, e os hosts internos recebem IPs desse pool temporariamente, conforme iniciam conexões. Quando a conexão termina, o IP volta ao pool.

Funcionamento

  1. Host interno 192.168.1.10 inicia conexão.
  2. Roteador NAT seleciona um IP livre do pool (ex: 200.150.100.50).
  3. Cria entrada na tabela NAT: IL=192.168.1.10 ↔ IG=200.150.100.50.
  4. Pacotes são traduzidos.
  5. Após timeout de inatividade (tipicamente 24 horas para TCP), a entrada expira e o IP volta ao pool.

Configuração Cisco

! Definir pool de IPs públicos
ip nat pool MEU_POOL 200.150.100.50 200.150.100.99 netmask 255.255.255.0

! ACL para selecionar quais hosts internos fazem NAT
access-list 1 permit 192.168.1.0 0.0.0.255

! Aplicar NAT dinâmico
ip nat inside source list 1 pool MEU_POOL

Vantagens

  • Eficiência: se nem todos os hosts estão conectados simultaneamente, um pool pequeno atende a muitos hosts.
  • Flexibilidade: hosts diferentes podem sair com IPs públicos diferentes a cada conexão.
  • Economia: menos IPs públicos que número total de hosts internos.

Desvantagens

  • Conexões de entrada difíceis: o IP externo muda, então servidores internos não podem ser acessados externamente sem configuração adicional.
  • Ainda exige muitos IPs: para 1000 hosts, talvez seja necessário um pool de 200-500 IPs.
  • Timeout pode causar problemas: conexões longas (FTP, downloads grandes) podem cair se o NAT expirar.

5. PAT (Port Address Translation / NAT Overload)

Conceito

PAT é a forma mais sofisticada de NAT. Em vez de mapear IPs, mapeia IP + Porta. Isso permite que múltiplos hosts internos compartilhem o mesmo IP público, diferenciados pela porta de origem.

É o tipo de NAT usado em virtualmente todas as residências e pequenas empresas — é o que permite que uma casa com 20 dispositivos conectados funcione com um único IP público.

Funcionamento Passo a Passo

  1. Host 192.168.1.10 envia pacote TCP para 142.250.74.46:443, porta de origem 50000.
  2. Host 192.168.1.11 também envia pacote TCP para 142.250.74.46:443, porta de origem 50000.
  3. Roteador NAT traduz ambos os pacotes para o mesmo IP público 200.150.100.50, mas altera as portas de origem:
    - Pacote 1: origem 192.168.1.10:50000 → 200.150.100.50:50001
    - Pacote 2: origem 192.168.1.11:50000 → 200.150.100.50:50002
  4. Tabela NAT registra:
    - 200.150.100.50:50001 ↔ 192.168.1.10:50000 (sessão A)
    - 200.150.100.50:50002 ↔ 192.168.1.11:50000 (sessão B)
  5. Quando o servidor responde para 200.150.100.50:50001, o NAT consulta a tabela e entrega a 192.168.1.10.

Capacidade Teórica

Cada IP público suporta até 65.535 portas (excluindo portas privilegiadas, na prática ~64.000). Em teoria, um único IP público poderia servir 64.000 conexões simultâneas. Na prática, com timeout de 60 segundos, isso atende milhares de hosts em uma rede corporativa.

Configuração Cisco

! ACL para selecionar hosts
access-list 1 permit 192.168.1.0 0.0.0.255

! PAT usando IP da interface externa (overload)
ip nat inside source list 1 interface GigabitEthernet0/1 overload

A palavra-chave overload ativa o PAT. Sem ela, seria NAT dinâmico tradicional.

Configuração Linux (iptables)

# Habilitar IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

# PAT na interface eth0 (IP público)
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

O alvo MASQUERADE é equivalente ao overload da Cisco, usando o IP da interface de saída.

Vantagens

  • Máxima economia de IPs: milhares de hosts compartilham um único IP público.
  • Padrão de facto: funciona em qualquer roteador doméstico.
  • Transparente para o usuário: nenhuma configuração adicional nos hosts.

Desvantagens

  • Quebra o modelo fim-a-fim: hosts internos não podem receber conexões de entrada sem port forwarding.
  • Degradação em cargas altas: se muitas conexões simultâneas, pode haver exaustão de portas.
  • Problemas com protocolos antigos: FTP ativo, SIP antigo, H.323 exigem ALG (Application Layer Gateway) para funcionar através de PAT.
  • Logging mais complexo: logs externos mostram apenas o IP do NAT, não o host interno.

6. Tabela Comparativa dos Três Tipos

Característica Estático Dinâmico PAT (Overload)
Mapeamento 1-para-1 fixo 1-para-1 temporário Muitos-para-1
Uso de portas Não altera Não altera Altera
Conexões de entrada Sim, todas as portas Difícil (IP varia) Não (sem port forward)
Economia de IPs Baixa (1 IP por host) Média (pool compartilhado) Alta (1 IP para milhares)
Custo Alto Médio Baixo
Aplicações Servidores públicos Ambientes mistos Residências, escritórios
Configuração Manual por host Pool + ACL Pool ou interface + overload

7. Casos de Uso Típicos

Cenário 1: Residência

  • Necessidade: 5-10 dispositivos compartilham 1 IP público do provedor.
  • Solução: PAT simples.
  • Configuração: roteador Wi-Fi padrão.

Cenário 2: Pequena Empresa

  • Necessidade: 50 funcionários + 1 servidor web acessível externamente.
  • Solução: PAT para usuários + NAT estático para o servidor.
  • Configuração:
    ip nat inside source static tcp 192.168.1.10 80 200.150.100.50 80 ip nat inside source list 1 interface Gi0/1 overload

Cenário 3: Média Empresa

  • Necessidade: 500 funcionários + 5 servidores web + servidores de email.
  • Solução: NAT dinâmico com pool para usuários + NAT estático para servidores.
  • Configuração:
  • Pool público /29 (5 IPs utilizáveis) para servidores (NAT estático).
  • Pool público /28 (13 IPs utilizáveis) para usuários (NAT dinâmico).
  • Ou apenas PAT para usuários.

Cenário 4: Provedor de Internet (CGNAT)

  • Necessidade: 100.000 clientes compartilham 1.000 IPs públicos.
  • Solução: CGN (Carrier-Grade NAT), usando faixa 100.64.0.0/10 internamente.
  • Escala: cada IP público atende até 4.000 clientes (limitado por portas).

8. Problemas Comuns e Troubleshooting

Problema 1: Conexões Não Chegam ao Destino

Sintoma: Host interno envia pacote, mas resposta não chega.

Causas possíveis:
- ACL do NAT não inclui a faixa do host.
- Tabela NAT cheia (exaustão de portas em PAT).
- Timeout muito curto para a aplicação (FTP, BGP).

Diagnóstico:

show ip nat translations       # Ver entradas ativas
show ip nat statistics         # Ver estatísticas
clear ip nat translation *    # Limpar todas

Problema 2: FTP Ativo Não Funciona

Causa: FTP ativo envia o IP interno no comando PORT, quebrando NAT.

Solução: habilitar ALG de FTP:

ip nat service ftp-server tcp 21
# ou no Linux
modprobe nf_nat_ftp
modprobe nf_conntrack_ftp

Problema 3: VOIP/SIP Não Funciona

Causa: SIP embute IPs e portas no SDP, que NAT não altera.

Solução: SIP ALG (geralmente habilitado por padrão em roteadores SOHO, mas às vezes precisa ser desabilitado para alguns provedores).

9. Boas Práticas

  • Usar PAT para usuários finais — máxima economia de IPs.
  • Usar NAT estático para servidores — acessibilidade externa garantida.
  • Documentar cada mapeamento em IPAM.
  • Monitorar exaustão de portas em CGNAT (cuidado com usuários pesados P2P).
  • Desabilitar SIP ALG se causa problemas — muitos roteadores SOHO têm implementação defeituosa.
  • Configurar timeouts apropriados por protocolo (TCP 24h, UDP 5min, ICMP 1min).
  • Em ambientes cloud, usar NAT Gateways gerenciados (AWS NAT Gateway, Azure NAT Gateway) ao invés de instâncias NAT caseiras.

10. NAT e IPv6

No IPv6, NAT não é necessário para conservação de endereços — o espaço é vasto (2128). No entanto, NAT66 existe para casos específicos:

  • Ula (Unique Local Addresses, fc00::/7) para redes internas que precisam de tradução na borda.
  • NPTv6 (Network Prefix Translation, RFC 6296) para tradução de prefixo sem alterar portas.

Em geral, em IPv6 recomenda-se atribuir endereços globais diretamente aos hosts, sem NAT. A arquitetura original fim-a-fim é restaurada.

11. Resumo

Os três tipos de NAT atendem necessidades distintas:

  • Estático: para servidores acessíveis externamente.
  • Dinâmico: para ambientes mistos com pool de IPs disponível.
  • PAT: para residências e escritórios com milhares de hosts e poucos IPs públicos.

Escolher o tipo correto é uma decisão de projeto que impacta custo, escalabilidade e segurança. Na prática, redes modernas combinam PAT para usuários com NAT estático para servidores — o melhor de dois mundos. Com o avanço do IPv6, a importância do NAT deve diminuir gradualmente, mas ele continuará presente em redes IPv4 por décadas.

03 - NAT (Conexão Privado-Público) 05 - IPs Públicos e Privados