Il NAT (Network Address Translation, traduzione degli indirizzi di rete) è un meccanismo che modifica gli indirizzi IP (e talvolta le porte) dei pacchetti in transito su un router, permettendo a dispositivi con indirizzi IP privati (RFC 1918: 10.x, 172.16–31.x, 192.168.x) di comunicare con Internet attraverso uno o più indirizzi IP pubblici. Nato come soluzione alla scarsità di indirizzi IPv4, il NAT ha un effetto collaterale di sicurezza che spesso viene sopravvalutato.
Come funziona il NAT
Il tipo più comune è il NAT con overload (detto anche PAT — Port Address Translation o NAPT): il router mantiene una tabella di stato che associa ogni connessione uscente (IP_interno:porta_sorgente) a (IP_pubblico:porta_esterna). Al ritorno, il router usa la tabella per rimappare i pacchetti verso l’host interno corretto. Gli host interni sono invisibili dall’esterno: l’unico IP visibile su Internet è quello del router.
Il beneficio di sicurezza del NAT
Il NAT introduce una forma di oscuramento della topologia interna: un attaccante esterno non vede gli indirizzi IP privati interni, né può stabilire connessioni TCP verso host interni non presenti nella tabella di stato (le connessioni non iniziate dall’interno vengono scartate per default). Questo comporta che la maggior parte dei port scanner e dei tentativi di connessione diretti verso un IP NAT-ato falliscono semplicemente perché non c’è una regola di port forwarding che li instradi.
Perché il NAT non è sicurezza
Il beneficio è incidentale, non progettato, e presenta limiti fondamentali:
- Protezione per connessioni uscenti: il NAT non filtra né ispeziona il traffico uscente. Malware che si connette a un server C2 esterno attraversa il NAT liberamente.
- Non sostituisce il firewall: un firewall applica policy esplicite su traffico entrante, uscente e in transito. Il NAT scarta traffico entrante solo per assenza di corrispondenza nella tabella di stato — non per policy. Sono meccanismi distinti.
- Nessuna ispezione del payload: il NAT opera a livello L3/L4 sugli indirizzi; non vede né interpreta il contenuto dei pacchetti.
- Vulnerabilità al NAT traversal: tecniche come STUN, TURN, UPnP e ICE permettono a applicazioni (WebRTC, giochi, P2P) di aprire percorsi attraverso il NAT. Alcune implementazioni di UPnP mal configurate espongono porte involontariamente.
- IPv6 elimina il NAT: in IPv6 ogni dispositivo ha un indirizzo pubblico globale. La sicurezza perimetrale dipende interamente dal firewall, non dall’oscuramento degli indirizzi.
NAT e architetture moderne
In un’architettura Zero Trust, il NAT è irrilevante come controllo di sicurezza: la verifica dell’identità avviene a prescindere dalla posizione di rete, e la segmentazione è implementata tramite policy basate sull’identità del workload, non sull’indirizzo IP. L’indirizzo IP smette di essere un segnale di fiducia.
Il NAT rimane indispensabile per la connettività IPv4 domestica e delle PMI, ma le architetture enterprise non lo contano tra i controlli di sicurezza primari.