Seu roteador e o NAT

Procure seu próprio endereço IP público, e todo dispositivo na sua rede doméstica, celular, notebook, alto-falante inteligente, vai mostrar o mesmo número. Olhe o que cada dispositivo pensa que é seu próprio endereço, e você vai encontrar algo diferente: um endereço privado como 192.168.1.12, das faixas que a RFC 1918 reserva para redes locais, abordadas na primeira aula deste curso. O dispositivo que liga os dois é seu roteador, usando uma técnica chamada Tradução de Endereço de Rede, ou NAT.

O que o NAT realmente faz

O glossário da MDN o define claramente: o NAT "é uma técnica para deixar que múltiplos computadores compartilhem um endereço IP", "atribuindo endereços únicos a cada computador na rede local e ajustando o tráfego de rede para enviar os dados ao lugar certo". Concretamente, quando seu notebook abre uma conexão com um site, o roteador reescreve o pacote de saída para que ele pareça vir do próprio endereço público do roteador, e mantém uma tabela ligando essa conexão de volta ao endereço privado e à porta do seu notebook. Quando a resposta chega, o roteador a procura nessa tabela e a encaminha para o dispositivo certo.

É por isso que o NAT existe: os cerca de 4,3 bilhões de endereços do IPv4 nunca seriam suficientes para dar um endereço público a cada celular, notebook e dispositivo inteligente em cada residência, e os provedores de internet geralmente entregam a uma casa só um endereço público. O NAT permite que uma casa com uma dúzia de dispositivos compartilhe esse único endereço sem que cada um precise do seu próprio.

O que o NAT faz por você, por acaso

O NAT foi construído para resolver uma escassez de endereços, não para proteger sua rede, mas ele tem um efeito colateral útil. Como os dispositivos por trás dele só têm endereços privados, um computador na internet aberta não consegue simplesmente abrir uma conexão nova e não solicitada com seu notebook, da forma como poderia se seu notebook tivesse um endereço público diretamente: não há endereço público para alcançar, e o roteador não tem uma entrada correspondente em sua tabela de tradução para encaminhar essa conexão. Tráfego que seu próprio dispositivo pediu volta a ser permitido porque o roteador se lembra do pedido; tráfego que ninguém pediu geralmente não tem para onde ir.

O que o NAT não faz

Essa filtragem incidental não é o mesmo que segurança, e vale a pena ser preciso sobre a diferença:

• O NAT não faz nada em relação a conexões que seus próprios dispositivos abrem para fora. Se um aplicativo no seu notebook se conecta a um servidor, o NAT deixa a resposta voltar com prazer; ele não tem opinião sobre se esse aplicativo deveria estar falando com esse servidor em primeiro lugar.
• O NAT não inspeciona nem criptografa o conteúdo. Qualquer coisa enviada sem criptografia é tão legível para os sites e redes no meio do caminho quanto seria sem o NAT.
• O NAT não substitui um firewall. Muitos roteadores rodam um firewall com estado junto com o NAT, e é esse firewall, acompanhando o aperto de mão descrito na aula anterior, quem realmente faz o trabalho de decidir o que permitir.
• Dispositivos compartilhando um endereço público ainda podem ser distinguidos individualmente por outros meios, como contas, cookies ou identificadores de dispositivo usados pelos sites que visitam.

Em resumo: o NAT é o motivo de toda a sua casa compartilhar um endereço, e, como efeito colateral, o motivo pelo qual conexões de entrada aleatórias geralmente não conseguem alcançar um dispositivo específico dentro da sua casa sem convite. Ele não diz nada sobre o que seus próprios dispositivos escolhem enviar para fora, nem sobre qualquer um a jusante das suas próprias conexões de saída.