Cortafuegos NAT: aprende todo sobre seguridad de red

NAT (traducción de direcciones de red) es una característica integrada en la mayoría de los rúteres que ayuda a gestionar el tráfico entre tus dispositivos e Internet. Reescribe las direcciones IP privadas para convertirlas en públicas, lo que garantiza que los datos lleguen al lugar correcto.

Aunque a veces se le denomina «firewall NAT», NAT no inspecciona ni bloquea el tráfico de la forma en que lo hace un cortafuegos tradicional. En su lugar, permite responder a las solicitudes procedentes del interior de tu red e ignora los datos entrantes inesperados, creando una especie de barrera natural que limita el acceso directo desde el exterior.

También ayuda a proteger tu privacidad, ya que significa que tu rúter usa una IP pública para todos tus dispositivos. A continuación, NAT transmite los datos entrantes desde la IP pública al dispositivo correcto dentro de tu red. Esto significa que tu IP privada no queda expuesta a Internet.

En esta guía, aprenderás todo sobre cómo funciona NAT. Hablaremos de sus ventajas, limitaciones y proceso de configuración, ya sea para redes domésticas, empresariales o de juegos. Además, exploraremos la compatibilidad de NAT con las VPN y te daremos consejos para resolver problemas que te ayudarán a optimizar la seguridad y el rendimiento.

¿Qué es un «cortafuegos» NAT?

NAT no es realmente un cortafuegos, ya que no analiza ni filtra el tráfico en función de reglas. Más bien, es un sistema que ayuda a enrutar el tráfico de Internet a los dispositivos correctos de tu red y, como resultado, evita que el tráfico externo no solicitado llegue a ellos.

Cuando buscas algo en Internet, tu dispositivo envía una solicitud usando su dirección IP privada. Dado que esa dirección no tiene sentido para los servidores de Internet, la NAT interviene para traducirla a la IP pública de tu rúter, algo que Internet puede entender.

La NAT también ayuda a resolver la escasez de direcciones IPv4 al permitir que varios dispositivos de una misma red compartan una única dirección IP pública. Una dirección IPv4 es un número único, como 192.168.0.1, que identifica un dispositivo en Internet. Sin embargo, la cantidad de estas direcciones es limitada (menos de 4300 millones), lo que se ha convertido en un problema debido al rápido crecimiento de los dispositivos conectados a Internet.

Con NAT, cada dispositivo de la red usa una dirección IP interna única, pero todos aparecen como la misma IP pública para el mundo exterior, lo que reduce la necesidad de tener múltiples direcciones IP públicas.

¿Cómo funciona un «cortafuegos» NAT?

NAT permite que todos tus dispositivos privados compartan una dirección IP pública. De este modo, se evita que esos dispositivos queden expuestos directamente a Internet. Esto significa que las fuentes externas no pueden iniciar una conexión con tus dispositivos a menos que estos hayan iniciado el contacto primero.

Imagina que tu red doméstica es la oficina de una empresa. En ella tienes diferentes empleados (tus dispositivos), cada uno con su propia extensión telefónica (direcciones IP privadas). Sin embargo, la oficina solo tiene una línea telefónica principal para comunicarse con el exterior (una dirección IP pública).

NAT es como el recepcionista. Cuando alguien desde dentro hace una llamada al exterior (enviando una solicitud en Internet), el recepcionista toma nota de quién la ha realizado y la remite usando el número principal de la empresa. Cuando llega una llamada (como una respuesta de una web), NAT comprueba quién la ha solicitado y la dirige a la extensión correcta.

Así es cómo funciona:

1. 1. Realizar la solicitud: tu dispositivo envía una solicitud a una web, que incluye tu dirección IP privada y un número de puerto, datos que identifican tu dispositivo dentro de tu red local.
   2. Procesamiento por NAT: antes de enviar la solicitud a Internet, NAT sustituye tu dirección IP privada por la dirección IP pública del rúter. También registra esta traducción para saber cómo enrutar la respuesta al dispositivo correcto.
   3. Respuesta de la web: la web recibe la solicitud (que ahora muestra tu IP pública), la procesa y envía los datos, como una página web o un archivo.
   4. El rúter recibe una respuesta: cuando llega la respuesta, tu rúter usa el registro guardado para determinar qué dispositivo interno la solicitó.
   5. Entrega de los datos: la NAT vuelve a cambiar la dirección IP pública por la privada y reenvía los datos a tu dispositivo.

La NAT oculta eficazmente tus direcciones IP internas y descarta el tráfico entrante no solicitado. Sin embargo, no inspecciona ni filtra los datos de forma activa. Esa es la función de un cortafuegos, que analiza tanto el tráfico entrante como el saliente basándose en reglas de seguridad.

Además, los cortafuegos tradicionales van más allá, ya que supervisan los estados de conexión y aplican políticas de seguridad más extensas, lo que ofrece un control más completo sobre el tráfico de red. Descubre cómo funcionan los diferentes tipos de cortafuegos y contra qué te protegen.

Tipos de configuraciones de cortafuegos NAT

Existen varios tipos de NAT, cada uno de ellos adecuado para diferentes necesidades de red. Entender en qué se diferencian puede ayudarte a elegir la configuración adecuada en cuanto a rendimiento, escalabilidad y seguridad.

A continuación se detallan las diferencias entre las configuraciones de NAT estática, NAT dinámica y NAT de sobrecarga (PAT):

• NAT estática: crea un enlace fijo entre una dirección IP privada y una dirección IP pública. Esto significa que un dispositivo específico dentro de tu red siempre aparecerá con la misma IP pública cuando se conecte a Internet. Resulta útil cuando necesitas que los dispositivos externos accedan de forma fiable a servicios internos, como un servidor web o de correo electrónico.
  💡 Imagínatelo como una redirección de puertos de todo el tráfico de una dirección IP pública específica directamente a un dispositivo interno.
• NAT dinámica: usa un conjunto compartido de direcciones IP públicas que se asignan a los dispositivos internos solo cuando necesitan acceso a Internet. Al igual que la NAT estática, crea asignaciones uno a uno, pero estas conexiones son temporales y cambian con el tiempo. Esta configuración es útil cuando esperas tener varios dispositivos conectados, pero no necesitas que cada uno tenga una dirección IP pública fija. También es la base de cómo se describió anteriormente la NAT: el rúter recuerda dinámicamente qué solicitud proviene de qué dispositivo para poder enrutar las respuestas correctamente.
• Sobrecarga de NAT: una forma más avanzada de NAT dinámica, la sobrecarga de NAT permite que varios dispositivos compartan una única dirección IP pública asignando a cada conexión un número de puerto único. Esto garantiza que las sesiones de cada dispositivo sigan siendo distintas, incluso cuando se usa la misma IP. Es la configuración NAT más común, especialmente en redes domésticas, en las que muchos dispositivos se conectan a Internet a través de una única IP pública.

¿Qué son la NAT abierta, moderada y estricta?

Es posible que oigas los conceptos de NAT abierta, moderada y estricta, especialmente en el ámbito de los videojuegos. Estas etiquetas describen la facilidad con la que tu dispositivo puede conectarse a otros en Internet, en función de cómo gestiona tu red el tráfico entrante y las asignaciones de puertos.

• NAT abierta (o tipo A): puedes conectarte fácilmente a todos los demás tipos de NAT. Es ideal para juegos y chats de voz, ya que permite una comunicación fluida con otros jugadores. Sin embargo, ofrece menos protección, ya que hay más puertos abiertos a Internet.
• NAT moderada (o tipo B): puedes conectarte a usuarios de NAT abierta y moderada, pero no a los de estricta. Por lo general, funciona bien, pero es posible que se produzcan problemas ocasionales de conexión de voz o de juego, y algunos puertos pueden estar cerrados, lo que puede limitar un poco el rendimiento.
• NAT estricta (o tipo C o D): solo puedes conectarte a usuarios de NAT abierta. Esto suele provocar problemas de emparejamiento, largos tiempos de espera o caídas de conexión. Una NAT estricta suele significar que tu rúter está bloqueando puertos o usando reglas de conexión más restrictivas.

Estos términos son comunes en redes de consolas como Xbox Network (antes Xbox Live), Nintendo Switch Online o PlayStation Network. Entre bastidores, a menudo se relacionan con la configuración de la NAT, si usa reglas estáticas o dinámicas, o cómo asigna los puertos (cono completo, cono restringido o NAT simétrica).

Cómo configurar la NAT (guía paso a paso)

A continuación, te ofrecemos una guía paso a paso sobre cómo configurar NAT en tu rúter, crear reglas de seguridad básicas y comprobar si funciona correctamente.

Configuración de un «cortafuegos» NAT en un rúter

La mayoría de los rúteres Wi-Fi vienen con ajustes de NAT integrados. En este tutorial, te guiaremos a través del proceso usando un rúter Wi-Fi 6 TP-Link, pero los pasos deberían ser similares para otras marcas.

1. Abre un navegador web e introduce la dirección IP de tu rúter (por ejemplo, 192.168.1.1 o 192.168.0.1) en la barra de direcciones. Puedes encontrar esta dirección IP en Configuración de red e Internet en Windows o en Configuración del sistema en Mac.
   
2. Inicia sesión con tu nombre de usuario y contraseña de administrador. Si tienes problemas para encontrar la información de IP de tu rúter, tenemos una guía que te ayudará a localizarla.
   
3. Ve a la sección Avanzado/Configuración del menú de configuración de tu rúter.
   
4. Activa la NAT si aún no está activa. Es posible que algunos modelos no tengan un interruptor para activar/desactivar NAT directamente, ya que siempre está activada por defecto.
   
5. Guarda la configuración.

Una vez que hayas terminado de configurar los ajustes de NAT, reinicia el rúter para aplicar los cambios. Es posible que algunos rúteres se reinicien automáticamente después de guardar la configuración.

Establecer reglas de seguridad y filtrado de tráfico

Aunque NAT proporciona una protección básica al ocultar tus direcciones IP internas, sigue siendo importante establecer reglas de seguridad adicionales y filtrado de tráfico para evitar el acceso no autorizado a tu red.

• Permitir solo el tráfico saliente: configura tu cortafuegos para que solo permita el tráfico que se origina dentro de tu red. Esto garantiza que las respuestas a las solicitudes que envías se permitan, pero que las solicitudes no solicitadas se bloqueen.
• Bloquea el tráfico entrante no solicitado: establece reglas explícitas para descartar cualquier dato externo que no coincida con una solicitud existente.
• Configura la redirección de puertos: si ejecutas servicios como servidores web o de correo electrónico que deben ser accesibles desde fuera de tu red, configura la redirección de puertos. Esto le indica a tu rúter que envíe tipos específicos de tráfico al dispositivo interno correcto, lo que sobrepasa el comportamiento por defecto de NAT de ignorar las solicitudes no solicitadas.

Cómo comprobar si NAT funciona correctamente

A continuación, te mostramos algunas formas sencillas de comprobar si la NAT está configurada y funciona correctamente en tu red.

• Comprueba la IP externa: desde cualquier dispositivo de tu red, abre el navegador y usa nuestra herramienta de verificación de IP para ver tu IP pública. A continuación, prueba lo mismo en un segundo dispositivo. Si ambos muestran la misma IP pública, tu rúter está traduciendo varias IP privadas a una pública compartida, lo que confirma que la NAT está activa.
• Usa los comandos ping y traceroute: aunque estas herramientas no muestran directamente tu configuración de NAT, son una forma rápida de confirmar la conectividad básica. Si has cambiado recientemente la configuración de NAT, ejecuta los comandos ping o traceroute para asegurarte de que tu dispositivo aún puede conectarse a servidores externos.
• Registros del cortafuegos: accede al panel de administración de tu rúter (normalmente en Seguridad, Avanzado o Registros) y revisa los registros para verificar que se está rechazando el tráfico entrante no solicitado. Esto confirma que tu red está gestionando las reglas de NAT y del cortafuegos como se espera.

Seguridad de la red NAT

NAT proporciona un nivel básico de protección al ocultar las direcciones IP internas y evitar las conexiones entrantes no solicitadas.

¿Cómo de seguro es NAT?

NAT mejora tu privacidad al convertir las direcciones IP internas en una única IP pública, lo que protege eficazmente tus dispositivos del contacto directo con Internet. Como el tráfico entrante debe coincidir con una solicitud desde el interior de tu red, actúa como una simple barrera contra conexiones inesperadas.

Sin embargo, NAT no es una solución de seguridad. No inspecciona los datos entrantes ni detecta amenazas como el phishing, el malware u otras formas de ataque. Por eso se debe usar en combinación con herramientas de seguridad adicionales, como un antivirus, una VPN (como ExpressVPN) y prácticas de navegación seguras, para mantener tus dispositivos protegidos de verdad.

NAT vs. cortafuegos tradicionales: comparación de seguridad

En comparación con los cortafuegos tradicionales, NAT se centra más en ocultar tu red interna que en bloquear activamente las amenazas. Un cortafuegos inspecciona y filtra el tráfico basándose en reglas específicas, a menudo usando la inspección profunda de paquetes para bloquear datos sospechosos o maliciosos.

NAT, por el contrario, no analiza el contenido de los paquetes ni aplica políticas de seguridad. Su función principal es impedir el tráfico entrante no solicitado, permitiendo solo las respuestas a las solicitudes que se originan dentro de tu red.

Para obtener una protección completa, NAT debe usarse junto con un cortafuegos o un sistema de detección de intrusiones dedicado que pueda supervisar, filtrar y responder activamente a las amenazas de seguridad.

Riesgos de seguridad comunes de los cortafuegos NAT y cómo mitigarlos

Existen algunos riesgos asociados a los cortafuegos NAT. Estos son algunos de los problemas más comunes y cómo puedes resolverlos.

NAT vs. VPN: ¿cuál es la diferencia?

La NAT vs. VPN tienen fines muy diferentes. La NAT protege tus dispositivos ocultando las direcciones IP internas y bloqueando el tráfico entrante no solicitado. Funciona a nivel del rúter, permitiendo únicamente las respuestas a las solicitudes que inicias, como cargar una página web o descargar un archivo. Su función principal es gestionar las direcciones IP y controlar el flujo de tráfico dentro de tu red local.

Una VPN, por otro lado, cifra todo tu tráfico de Internet y lo enruta a través de un servidor seguro. Oculta tu dirección IP y tu ubicación, protegiendo tu actividad en Internet de webs, proveedores de servicios de Internet, hackers y vigilancia. Las VPN están diseñadas para garantizar la privacidad y la seguridad en Internet.

¿Puede NAT sustituir a una VPN?

No, NAT no puede sustituir a una VPN. Aunque ayuda a limitar las conexiones no deseadas, no cifra tus datos ni protege tu actividad contra el seguimiento. Si deseas una verdadera privacidad y seguridad en Internet, una VPN es esencial.

Cómo usar NAT y una VPN a la vez para obtener la máxima seguridad

Para una mayor protección en Internet, usa NAT y una VPN juntos. NAT ayuda a proteger tu red interna al evitar el tráfico entrante no solicitado, mientras que una VPN cifra todo el tráfico de Internet y oculta tu dirección IP pública, manteniendo tus datos privados y seguros frente a observadores externos.

Consejo: Si deseas obtener más información sobre las diferencias entre un cortafuegos y una VPN, lee nuestra guía completa.

Algunos protocolos VPN más antiguos, como IPsec, pueden tener problemas con NAT, ya que no siempre transmiten suficientes metadatos de conexión, lo que puede provocar caídas o bloqueos de las conexiones. Para evitarlo, usa protocolos compatibles con NAT, como OpenVPN o IKEv2, ambos compatibles con ExpressVPN y que funcionan de forma fiable con NAT.

Si no es posible cambiar de protocolo, busca un rúter que sea compatible con el paso de VPNs, lo que permitirá superar las restricciones de NAT.

Problemas comunes relacionados con NAT y cómo solucionarlos

NAT es una parte crucial de tu red, pero pueden surgir varios problemas que afecten al rendimiento y la conectividad. A continuación, se indican algunos problemas comunes que pueden afectar a tu red y cómo solucionarlos.

• Reglas NAT incorrectas: si no se crean las sesiones correctamente, es posible que la configuración NAT esté mal configurada. Abre la configuración de tu rúter. Busca la sección NAT o la redirección de puertos y comprueba si aparecen los dispositivos y puertos correctos. Asegúrate de que el dispositivo interno (como tu PC o consola) esté asignado al puerto correcto.
• La puerta de enlace NAT no se puede conectar externamente: si el dispositivo que conecta tu red a Internet no puede acceder a webs externas, es posible que le falte una ruta. Accede a la configuración del rúter y asegúrate de que tiene una «ruta predeterminada» o una conexión a Internet establecida correctamente. Puedes comprobarlo visitando una web o usando la herramienta de ping para verificar la conectividad.
• Doble NAT: se produce cuando se usan varios dispositivos NAT en una red, lo que provoca complicaciones con los juegos online, las conexiones VPN y la redirección de puertos. Para resolverlo, puedes colocar tus dispositivos de red en modo puente o configurarlos para evitar la superposición de las funciones de NAT.
• El dispositivo interno no puede acceder a la puerta de enlace NAT: si un dispositivo de tu red local no puede conectarse a la puerta de enlace NAT, revisa su configuración de red junto con la configuración de la puerta de enlace para descartar problemas de ajustes. Asegúrate de que el dispositivo obtiene una dirección IP automáticamente y de que la «puerta de enlace» (normalmente la IP de tu rúter) sea correcta. Reinicia tanto el dispositivo como el rúter si es necesario.
• La puerta de enlace de la capa de aplicación (ALG) está desactivada: la ALG ayuda a que determinados servicios, como el VoIP o los juegos online, funcionen correctamente a través de NAT. Si está desactivada, es posible que esas aplicaciones no funcionen como se espera. En la configuración de tu rúter, busca una sección llamada «puerta de enlace de capa de aplicación» (Application Layer Gateway). Activa opciones como SIP ALG si tienes problemas con las aplicaciones de llamadas o juegos.
• Configuraciones de NAT superpuestas: cuando la configuración de NAT entra en conflicto con las direcciones IP existentes, pueden producirse problemas de conectividad. Ve a la configuración de NAT y asegúrate de que no estás reenviando tráfico a una IP que ya está siendo utilizada por otra cosa. Es útil usar IPs como 192.168.1.x o 10.0.0.x para evitar solapamientos.

¿Tu configuración de NAT está bloqueando juegos o aplicaciones?

Aunque NAT ayuda a proteger tu red, a veces puede interferir en los juegos online, especialmente en las conexiones multijugador o peer-to-peer.

Si experimentas retrasos, errores de desconexión o problemas para conectarte con otros jugadores, es posible que tu configuración de NAT sea demasiado restrictiva. En este caso, ve a la pestaña Avanzado de tu rúter y busca la configuración de NAT. Intenta habilitar Universal Plug and Play (UPnP), ya que esta funcionalidad abre automáticamente los puertos según sea necesario, lo que puede reducir la rigidez de NAT y mejorar la conectividad para juegos y aplicaciones.

Cómo solucionar problemas de redirección de puertos

Si tienes problemas con la redirección de puertos, aquí tienes algunos pasos comunes para solucionar problemas.

Antes de empezar: asegúrate de que no estás redirigiendo el puerto 443, ya que se usa para el tráfico web seguro y puede ser necesario para acceder al panel de administración de tu rúter. Redirigirlo podría impedirte iniciar sesión.

• Verifica la asignación de puertos: inicia sesión en el panel de administración de tu rúter y comprueba que se ha introducido la dirección IP interna correcta para el dispositivo al que estás redirigiendo. Asegúrate de que los números de puerto coinciden con los requisitos de la aplicación o el servicio; algunos necesitan los mismos puertos externos e internos, mientras que otros no.
• Revisa la configuración del cortafuegos: en la configuración del cortafuegos o de seguridad del rúter, comprueba si hay reglas que puedan bloquear los puertos que estás intentando abrir. Si es necesario, crea una regla personalizada para permitir el tráfico en los puertos correspondientes.
• Desactiva las configuraciones conflictivas: las funciones como DMZ, UPnP o NAT doble a veces pueden anular o interferir con la redirección de puertos manual. Intenta desactivar estas configuraciones temporalmente y vuelve a comprobar la conexión.
• Reinicia tu rúter: después de realizar los cambios, reinicia tu rúter para aplicarlos. Por lo general, puedes hacerlo desde el panel de administración o desconectando el rúter durante 10 segundos y volviéndolo a conectar.

¿La NAT ralentiza tu conexión a Internet?

La NAT suele tener un impacto mínimo en la velocidad de Internet. Sin embargo, en algunos casos, puede causar ligeros retrasos, especialmente si el rúter es antiguo o está sometido a una carga pesada. Si notas problemas de rendimiento, comprueba si tu rúter tiene habilitada la aceleración por hardware y plantéate la posibilidad de adquirir un modelo más potente si es necesario.

NAT en redes empresariales

NAT desempeña un papel crucial en la seguridad empresarial al enmascarar las direcciones IP internas y evitar el acceso directo desde fuentes externas. Permite que varios dispositivos compartan una única dirección IP pública, lo que mejora tanto la eficiencia como la seguridad de la red.

¿Cómo protege la NAT las redes empresariales?

Al ocultar las IP internas y bloquear el tráfico entrante no solicitado, la NAT reduce el riesgo de ataques externos. También ayuda a aplicar las políticas de seguridad internas al controlar el flujo de datos entre tu red interna e Internet, lo que la convierte en una capa de defensa esencial en los entornos corporativos.

NAT en la comunicación VoIP: ventajas y retos

La NAT aumenta la seguridad de la VoIP al bloquear el acceso directo entrante a los dispositivos VoIP internos. Sin embargo, también puede crear problemas con las conexiones de llamadas de voz o vídeo debido a la forma en que gestiona el tráfico SIP (protocolo de inicio de sesión).

El SIP se usa para establecer, gestionar y finalizar las llamadas VoIP, y a menudo incluye información sobre la dirección IP en el propio mensaje. Dado que NAT reescribe las direcciones IP para proteger tu red, esta discrepancia puede provocar que las llamadas VoIP fallen o se interrumpan.

Para solucionar esto, puedes:

• STUN (Session Traversal Utilities for NAT): ayuda a los dispositivos VoIP a descubrir su IP pública y determinar el tipo de NAT que se usa, lo que permite establecer conexiones directas cuando es posible.
• TURN (Traversal Using Relays around NAT): si no es posible establecer conexiones directas, TURN enruta el tráfico VoIP a través de un servidor de retransmisión externo para superar las estrictas restricciones de NAT y garantizar una conexión estable.
• Redirección de puertos: abre manualmente puertos específicos para el tráfico VoIP, lo que reduce los problemas de conexión y mantiene la seguridad.

Al usar STUN, TURN o el ajuste de la configuración de redirección de puertos, puedes garantizar llamadas VoIP fluidas sin sacrificar la seguridad.

Prácticas recomendadas de NAT para usuarios domésticos y empresas

NAT es una parte fundamental de la mayoría de las redes y ofrece una protección útil al limitar el tráfico entrante no solicitado. Para sacarle el máximo partido y evitar problemas de conectividad comunes, sigue estas prácticas recomendadas:

Para todos los usuarios:

• Mantén actualizado el firmware de tu rúter para corregir vulnerabilidades.
• Usa contraseñas seguras y únicas para los inicios de sesión en tu rúter y tu red Wi-Fi.
• Desactiva las funcionalidades de acceso remoto innecesarias, como la gestión remota, a menos que sea absolutamente necesario.
• Examina regularmente los dispositivos conectados y elimina cualquier cosa que no te resulte familiar.

Para usuarios domésticos:

• Usa UPnP o la redirección de puertos para resolver problemas con los juegos o las videollamadas.
• Redirecciona solo los puertos que necesites.
• Combina NAT con otras herramientas, como software antivirus y navegadores centrados en la privacidad.

Para empresas:

• Segmenta tu red para aislar los sistemas críticos y reducir la exposición.
• Restringe el tráfico saliente siempre que sea posible para limitar las conexiones externas innecesarias.
• Supervisa y registra el tráfico para detectar comportamientos inusuales o configuraciones incorrectas.
• Usa NAT con controles de acceso y cortafuegos para obtener una seguridad más robusta y basada en políticas.