Il NAT (Network Address Translation) traduce indirizzi tra reti – tipicamente la LAN privata e l'IP pubblico:
- statico – uno-a-uno fisso: un IP pubblico mappato a un host interno (per esporre un server)
- dinamico – uno-a-uno da un pool, assegnato al volo
- PAT (o NAT overload/masquerade) – molti-a-uno: tutta la LAN esce con un solo IP pubblico distinguendo le connessioni per porta. È il NAT di ogni router di casa
Sul piano sicurezza: il PAT dà un isolamento incidentale – dall'esterno non si raggiunge un host interno senza port forwarding esplicito, perché il router non sa a chi consegnare una connessione non richiesta. Ma è un effetto collaterale, non una politica di sicurezza: non ispeziona nulla, non sostituisce un firewall. Due note attuali: il CGNAT dei provider (PAT su scala, che ti nega il port forwarding – da cui i tunnel in uscita), e IPv6 che, avendo indirizzi per tutti, rende il NAT superfluo – e sposta l'isolamento dove deve stare, sul firewall.