Il tuo router e il NAT

Cerca il tuo indirizzo IP pubblico, e ogni dispositivo sulla tua rete domestica, telefono, portatile, altoparlante intelligente, mostrerà lo stesso numero. Guarda cosa ogni dispositivo pensa sia il proprio indirizzo, e troverai qualcosa di diverso: un indirizzo privato come 192.168.1.12, dagli intervalli che RFC 1918 riserva per le reti locali, trattati nella prima lezione di questo corso. Il dispositivo che collega i due è il tuo router, usando una tecnica chiamata Network Address Translation, o NAT.

Cosa fa davvero il NAT

Il glossario di MDN lo definisce chiaramente: il NAT “è una tecnica per lasciare che più computer condividano un indirizzo IP”, tramite “l’assegnazione di indirizzi unici a ciascun computer sulla rete locale e la regolazione del traffico di rete per inviare i dati al posto giusto.” Concretamente, quando il tuo portatile apre una connessione verso un sito web, il router riscrive il pacchetto in uscita così che sembri provenire dall’indirizzo pubblico proprio del router, e mantiene una tabella che collega quella connessione all’indirizzo privato e alla porta del tuo portatile. Quando arriva la risposta, il router la cerca in quella tabella e la inoltra al dispositivo giusto.

Ecco perché il NAT esiste affatto: i circa 4,3 miliardi di indirizzi di IPv4 non sarebbero mai bastati a dare un indirizzo pubblico a ogni telefono, portatile e dispositivo intelligente in ogni famiglia, e i provider internet generalmente assegnano a una casa un solo indirizzo pubblico. Il NAT permette a una famiglia con una dozzina di dispositivi di condividere quel singolo indirizzo senza che ognuno ne abbia bisogno di uno proprio.

Cosa fa il NAT per te, incidentalmente

Il NAT è stato costruito per risolvere una carenza di indirizzi, non per proteggere la tua rete, ma ha un utile effetto collaterale. Poiché i dispositivi dietro di esso hanno solo indirizzi privati, un computer sull’internet aperto non può semplicemente aprire una nuova connessione non richiesta verso il tuo portatile come potrebbe se il tuo portatile avesse direttamente un indirizzo pubblico: non c’è alcun indirizzo pubblico da raggiungere, e il router non ha una voce corrispondente nella sua tabella di traduzione a cui inoltrare quella connessione. Il traffico richiesto dal tuo stesso dispositivo viene lasciato rientrare perché il router ricorda la richiesta; il traffico che nessuno ha chiesto generalmente non ha dove andare.

Cosa non fa il NAT

Quel filtraggio incidentale non è la stessa cosa della sicurezza, e vale la pena essere precisi sulla differenza:

• Il NAT non fa nulla riguardo alle connessioni che i tuoi stessi dispositivi aprono verso l’esterno. Se un’app sul tuo portatile si connette a un server, il NAT lascia felicemente rientrare la risposta; non ha alcuna opinione su se quell’app avrebbe dovuto parlare con quel server in primo luogo.
• Il NAT non ispeziona né cifra il contenuto. Tutto ciò che viene inviato in chiaro è leggibile per i siti e le reti nel mezzo tanto quanto lo sarebbe senza NAT.
• Il NAT non è un sostituto di un firewall. Molti router eseguono un firewall con stato insieme al NAT, ed è quel firewall, che traccia l’handshake descritto nella lezione precedente, a svolgere il vero lavoro di decidere cosa consentire.
• I dispositivi che condividono un indirizzo pubblico possono comunque essere distinti individualmente con altri mezzi, come account, cookie o identificatori del dispositivo usati dai siti che visitano.

In breve: il NAT è il motivo per cui tutta la tua famiglia condivide un indirizzo, e, come effetto collaterale, il motivo per cui connessioni in entrata casuali generalmente non possono raggiungere un dispositivo specifico dentro casa tua senza essere invitate. Non dice nulla su cosa i tuoi stessi dispositivi scelgono di inviare fuori, o su chiunque sia a valle delle tue stesse connessioni in uscita.