O seu router e o NAT

Procure o seu próprio endereço IP público, e todos os dispositivos na sua rede doméstica, telemóvel, portátil, coluna inteligente, vão mostrar o mesmo número. Veja o que cada dispositivo pensa que é o seu próprio endereço, e vai encontrar algo diferente: um endereço privado como 192.168.1.12, dos intervalos que a RFC 1918 reserva para redes locais, abordados na primeira lição deste curso. O dispositivo que faz a ponte entre os dois é o seu router, usando uma técnica chamada Tradução de Endereços de Rede, ou NAT.

O que o NAT realmente faz

O glossário da MDN define-o claramente: o NAT "é uma técnica para deixar vários computadores partilhar um endereço IP", ao "atribuir endereços únicos a cada computador na rede local e ajustar o tráfego de rede para enviar os dados para o lugar certo." Concretamente, quando o seu portátil abre uma ligação a um site, o router reescreve o pacote de saída para que pareça vir do próprio endereço público do router, e mantém uma tabela que liga essa ligação de volta ao endereço privado e à porta do seu portátil. Quando a resposta chega, o router procura-a nessa tabela e encaminha-a para o dispositivo certo.

É por isto que o NAT existe de todo: os cerca de 4,3 mil milhões de endereços do IPv4 nunca iam chegar para dar um endereço público a cada telemóvel, portátil e dispositivo inteligente em cada casa, e os fornecedores de internet geralmente dão a uma casa apenas um endereço público. O NAT permite que uma casa com uma dúzia de dispositivos partilhe esse único endereço sem que cada um precise do seu próprio.

O que o NAT faz por si, incidentalmente

O NAT foi construído para resolver uma escassez de endereços, não para proteger a sua rede, mas tem um efeito secundário útil. Como os dispositivos atrás dele só têm endereços privados, um computador na internet aberta não consegue simplesmente abrir uma nova ligação não solicitada ao seu portátil da forma como poderia se o seu portátil tivesse diretamente um endereço público: não há nenhum endereço público a que possa chegar, e o router não tem nenhuma entrada correspondente na sua tabela de tradução para onde encaminhar essa ligação. O tráfego que o seu próprio dispositivo pediu é deixado entrar de volta porque o router se lembra do pedido; o tráfego que ninguém pediu geralmente não tem para onde ir.

O que o NAT não faz

Essa filtragem incidental não é o mesmo que segurança, e vale a pena ser preciso sobre a diferença:

• O NAT não faz nada quanto a ligações que os seus próprios dispositivos abrem para fora. Se uma app no seu portátil se liga a um servidor, o NAT deixa alegremente a resposta entrar de volta; não tem opinião sobre se essa app devia sequer estar a falar com esse servidor à partida.
• O NAT não inspeciona nem encripta conteúdo. Tudo o que for enviado em claro é tão legível para os sites e redes pelo meio como seria sem NAT.
• O NAT não é um substituto para um firewall. Muitos routers correm um firewall com estado a par do NAT, e é esse firewall, a acompanhar o cumprimento descrito na lição anterior, que faz o trabalho real de decidir o que permitir.
• Os dispositivos que partilham um endereço público ainda podem ser distinguidos individualmente por outros meios, como contas, cookies ou identificadores de dispositivo usados pelos sites que visitam.

Em resumo: o NAT é o motivo pelo qual toda a sua casa partilha um endereço, e, como efeito secundário, o motivo pelo qual ligações de entrada aleatórias geralmente não conseguem chegar a um dispositivo específico dentro da sua casa sem serem convidadas. Não diz nada sobre o que os seus próprios dispositivos escolhem enviar para fora, nem sobre quem estiver a jusante das suas próprias ligações de saída.