🔀 NAT: cos’è, come funziona e cosa cambia con IPv6

🔍 Che cos’è il NAT?

NAT significa Network Address Translation. Il router modifica gli indirizzi IP presenti nei pacchetti mentre il traffico passa da una rete all’altra, mantenendo le informazioni necessarie per poter effettuare la traduzione inversa quando arrivano le risposte.

Nelle reti domestiche il caso più comune riguarda la traduzione tra indirizzi IPv4 privati utilizzati nella LAN e l’indirizzo IPv4 pubblico presente sull’interfaccia WAN del router.

🏠 Gli indirizzi IPv4 privati

Nelle reti locali IPv4 vengono comunemente utilizzati intervalli di indirizzi riservati all’uso privato. Questi indirizzi possono essere riutilizzati in milioni di reti differenti perché non vengono instradati globalmente su Internet nello stesso modo degli indirizzi pubblici.

Due abitazioni differenti possono quindi utilizzare entrambe 192.168.1.10 senza creare alcun conflitto, perché i due indirizzi appartengono a reti private completamente separate.

⚙️ Cosa succede quando un PC apre un sito Web?

🔢 NAT e PAT: perché le porte sono importanti

Se nella rete sono presenti venti dispositivi che condividono lo stesso indirizzo pubblico, il router deve essere in grado di distinguere centinaia o migliaia di comunicazioni contemporanee. Per farlo, nelle comuni reti domestiche utilizza anche le porte di trasporto.

Questa tecnica viene spesso chiamata PAT, Port Address Translation, oppure NAT overload. Il router può modificare anche la porta sorgente della comunicazione e mantenere una tabella che associa ogni sessione esterna al dispositivo interno corretto.

📋 La tabella NAT del router

Per effettuare correttamente la traduzione, il router deve mantenere informazioni sulle comunicazioni attive. Possiamo immaginare una tabella che associa indirizzi e porte interne alle corrispondenti informazioni utilizzate verso Internet.

I numeri sono puramente esemplificativi, ma permettono di capire perché due computer possano utilizzare contemporaneamente la stessa porta sorgente interna senza creare conflitti sulla WAN: il router mantiene associazioni distinte.

🔀 NAT statico, dinamico e PAT

🔥 NAT e firewall: perché non sono la stessa cosa

Poiché nelle reti domestiche NAT e firewall vengono gestiti dallo stesso router, è facile pensare che siano due nomi per indicare la stessa funzione. In realtà svolgono compiti differenti.

Il NAT modifica gli indirizzi e le associazioni delle comunicazioni, mentre il firewall decide se il traffico deve essere consentito oppure bloccato secondo lo stato e le regole configurate.

🚪 Perché una connessione proveniente da Internet non sa a quale PC arrivare?

Immaginiamo che il router disponga dell’indirizzo IPv4 pubblico 203.0.113.10 e che nella LAN siano presenti dieci computer. Se da Internet arriva una nuova connessione verso una determinata porta dell’indirizzo pubblico, il router deve sapere a quale dispositivo interno inoltrarla.

Se quella connessione non appartiene a una traduzione già esistente e non è configurata alcuna regola di port forwarding, non esiste normalmente un’associazione che indichi quale host della LAN debba ricevere il traffico.

🎮 NAT aperto, moderato e stretto nelle console

Console e videogiochi utilizzano spesso espressioni come NAT aperto, moderato o stretto. Queste classificazioni non descrivono semplicemente se il router “ha il NAT acceso”, ma indicano quanto facilmente il dispositivo riesce a ricevere determinate comunicazioni necessarie al gioco online e al matchmaking.

Il risultato può dipendere da NAT, firewall, UPnP, port forwarding, CGNAT dell’operatore e dal comportamento specifico del servizio utilizzato.

🔄 Double NAT: quando ci sono due router

Il Double NAT si verifica quando il traffico attraversa due dispositivi che effettuano entrambi traduzione IPv4. Un esempio comune è un modem-router dell’operatore seguito da un secondo router personale collegato attraverso la porta WAN.

La navigazione Web può funzionare perfettamente anche con Double NAT, ma port forwarding, alcune VPN, giochi online e servizi che devono ricevere connessioni dall’esterno possono diventare più complicati perché la comunicazione deve attraversare due livelli di traduzione.

🌐 CGNAT: quando il NAT viene fatto anche dall’operatore

Con il Carrier-Grade NAT il provider può far condividere lo stesso indirizzo IPv4 pubblico a più clienti. In questo scenario il router domestico effettua normalmente un primo livello di traduzione e la rete dell’operatore ne applica un altro prima di raggiungere Internet.

Il CGNAT permette agli operatori di utilizzare in modo più efficiente il numero limitato di indirizzi IPv4 disponibili, ma può rendere impossibile o più difficile ricevere nuove connessioni direttamente da Internet.

🔍 L’intervallo 100.64.0.0/10 e il CGNAT

Gli operatori possono utilizzare l’intervallo 100.64.0.0/10 per infrastrutture di Carrier-Grade NAT. Se l’indirizzo IPv4 presente sulla WAN del router appartiene a questo intervallo, può essere un’indicazione che la connessione si trovi dietro CGNAT.

Tuttavia il semplice confronto dell’indirizzo WAN non sostituisce una verifica completa, perché gli operatori possono utilizzare architetture differenti.

🧪 Come capire se sei dietro CGNAT

Un controllo utile consiste nel confrontare l’indirizzo IPv4 WAN mostrato dal router con l’indirizzo pubblico rilevato da Internet. Se i due indirizzi sono differenti, potrebbe esserci un ulteriore livello di NAT a monte.

• Apri la pagina WAN o Internet del router.
• Annota l’indirizzo IPv4 assegnato all’interfaccia.
• Confrontalo con l’indirizzo IPv4 pubblico visto dai servizi Internet.
• Controlla se l’indirizzo WAN appartiene a un intervallo privato o allo spazio 100.64.0.0/10.
• Se necessario chiedi al provider se la linea utilizza CGNAT.

6️⃣ Cosa cambia con IPv6?

IPv6 dispone di uno spazio di indirizzamento enormemente più ampio rispetto a IPv4. Nelle normali implementazioni non è quindi necessario utilizzare NAT per permettere a decine di dispositivi domestici di condividere un singolo indirizzo pubblico.

Il provider può assegnare al router un prefisso IPv6 e i dispositivi della LAN possono ricevere indirizzi globali appartenenti a quel prefisso. Questo restituisce una struttura più vicina al modello end-to-end originale di Internet.

🛡️ Senza NAT IPv6 è meno sicuro?

No. Questa è una delle confusioni più comuni. Il fatto che un dispositivo utilizzi un indirizzo IPv6 globale non significa che qualsiasi connessione proveniente da Internet debba raggiungerlo automaticamente.

Il firewall stateful del router può continuare a consentire le risposte alle connessioni iniziate dalla LAN e bloccare le nuove connessioni provenienti dalla WAN, esattamente secondo la politica configurata.

⚖️ IPv4 con NAT e IPv6: confronto

💡 Perché per anni abbiamo associato NAT e sicurezza?

In una comune rete IPv4 privata, il router non possiede normalmente una traduzione valida per una nuova connessione casuale proveniente da Internet verso uno specifico client interno. Questo crea un effetto di isolamento che viene spesso percepito come una funzione di sicurezza.

Tuttavia è meglio considerarlo un effetto del modello di traduzione e mantenere la politica di sicurezza sotto il controllo esplicito del firewall. In questo modo il concetto rimane corretto anche quando utilizziamo IPv6.

🔄 NAT Loopback o Hairpin NAT

Alcuni router supportano una funzione chiamata NAT Loopback, Hairpin NAT o NAT Reflection. Permette a un dispositivo della LAN di utilizzare l’indirizzo pubblico del router per raggiungere un servizio che in realtà si trova nella stessa rete locale.

Questa funzione può essere utile quando utilizziamo lo stesso hostname sia dentro sia fuori casa, evitando di dover configurare indirizzi differenti per il servizio interno ed esterno.

🔒 NAT e VPN

Le VPN devono spesso attraversare router, NAT e firewall prima di raggiungere il server remoto. Molti protocolli moderni funzionano correttamente attraverso NAT, ma configurazioni con Double NAT o CGNAT possono complicare soprattutto le VPN nelle quali desideriamo ospitare il server direttamente a casa.

Se invece il router o il computer agisce come client VPN e avvia la connessione verso un server esterno, il NAT domestico è generalmente molto meno problematico perché la sessione viene iniziata dall’interno.

🧩 Diagnosi rapida: quale NAT hai?

⚠️ Errori comuni quando si parla di NAT

• Considerare NAT e firewall come la stessa funzione.
• Pensare che ogni dispositivo della LAN possieda lo stesso IPv4 pubblico in modo indipendente.
• Confondere NAT con routing.
• Aprire porte senza verificare prima la presenza di CGNAT.
• Creare port forwarding solo sul secondo router quando esiste Double NAT.
• Mettere un dispositivo in DMZ senza capire il problema.
• Considerare IPv6 insicuro soltanto perché non usa normalmente NAT.
• Disabilitare IPv6 come soluzione a un problema di NAT IPv4.
• Confondere l’indirizzo IPv4 privato della LAN con l’indirizzo WAN del router.
• Interpretare “NAT aperto” di una console come assenza completa del firewall.

🧪 Esempio pratico: tre dispositivi con un solo IPv4 pubblico

Immaginiamo una casa con un computer 192.168.1.20, uno smartphone 192.168.1.30 e una smart TV 192.168.1.40. Tutti e tre aprono contemporaneamente connessioni verso servizi differenti su Internet.

Il router riceve il traffico, crea associazioni differenti nella propria tabella NAT/PAT e invia verso Internet le comunicazioni utilizzando il proprio indirizzo IPv4 pubblico. Le porte permettono di mantenere separate le sessioni anche quando più dispositivi utilizzano contemporaneamente gli stessi protocolli.

Quando arrivano le risposte, il router consulta le associazioni create e inoltra ogni pacchetto al dispositivo interno corretto. I server remoti non hanno bisogno di conoscere direttamente gli indirizzi 192.168.1.x presenti nella LAN.