En clase, la primera vez que dibujamos en Packet Tracer cómo salía una petición desde una red privada hacia Internet, apareció un concepto que al principio cuesta encajar: en la salida del router, hacia la WAN, la IP privada del equipo desaparecía y se convertía en una IP pública distinta. Eso es NAT funcionando, y una vez que lo ves representado así, en el diagrama de una red real, deja de ser una definición abstracta.
Qué es NAT
NAT (Network Address Translation) traduce direcciones IP, no direcciones MAC — es un matiz importante, porque es fácil confundirlo con ARP, que sí trabaja con MAC pero dentro de la red local, no hacia Internet. NAT convierte las direcciones IP privadas de los equipos de una red (como 192.168.1.x) en la única IP pública que tu operador le asigna a tu router, y viceversa cuando la respuesta vuelve.
Por qué hace falta NAT
El motivo original es puramente numérico: las direcciones IPv4 públicas se agotan. El espacio de direcciones IPv4 es finito, y no hay ni de lejos suficientes IPs públicas para darle una a cada dispositivo del planeta. La solución fue reservar rangos de direcciones privadas — que cualquiera puede usar libremente dentro de su propia red, porque no son enrutables por Internet — y que NAT haga de traductor en el punto donde esa red privada se conecta al mundo exterior.
Los rangos privados más habituales que verás siempre son:
| Rango privado | Uso típico |
|---|---|
192.168.0.0 – 192.168.255.255 | Redes domésticas, la mayoría de routers |
10.0.0.0 – 10.255.255.255 | Redes empresariales grandes |
172.16.0.0 – 172.31.255.255 | Redes empresariales medianas |
Todos tus dispositivos de casa —móvil, portátil, tele— tienen una IP de ese primer rango, repartida por DHCP. Y todos ellos, cuando salen a Internet, comparten la única IP pública que tiene tu router.
Cómo se ve esto en Packet Tracer
En el diagrama típico de una red doméstica o de una pequeña oficina en Packet Tracer, el router tiene dos interfaces claramente diferenciadas:
- LAN (interior): con una IP del rango privado, por ejemplo
192.168.1.1, y todos los equipos de la red conectados hacia ese lado. - WAN (exterior): con la IP pública que le asigna el proveedor, la que de verdad es visible desde el resto de Internet.
Cuando un equipo con IP 192.168.1.45 manda una petición hacia fuera, el router reescribe el paquete en su interfaz WAN: cambia la IP origen de 192.168.1.45 a su propia IP pública antes de mandarlo a Internet. Cuando llega la respuesta, el router hace el proceso inverso y la reenvía al equipo correcto dentro de la LAN. Todo esto pasa de forma transparente — el servidor de destino en Internet nunca llega a ver la IP privada, solo la pública del router.
Cómo el router sabe a quién devolver cada respuesta
Aquí está la parte que no siempre se explica bien: si diez dispositivos de tu casa comparten la misma IP pública, ¿cómo sabe el router qué respuesta es de cuál? La respuesta es que NAT no traduce solo la IP, también trabaja con los puertos (esto se llama, más específicamente, PAT — Port Address Translation, aunque coloquialmente todo se llame NAT). El router mantiene una tabla interna que asocia cada conexión saliente con un puerto concreto, así que cuando llega la respuesta a ese puerto, sabe exactamente a qué dispositivo de la LAN reenviarla.
NAT estático vs NAT dinámico
No todo NAT funciona igual:
- NAT dinámico (el que usa tu router de casa): asigna la traducción sobre la marcha, según qué conexiones haya activas en cada momento. Es el más común en redes domésticas.
- NAT estático: mapea siempre la misma IP (o puerto) privada a la misma IP pública de forma fija. Se usa cuando necesitas que algo de dentro de tu red sea accesible desde fuera de forma predecible — por ejemplo, un servidor propio al que quieres poder conectarte siempre por la misma dirección.
Un caso práctico: por qué a veces hay que “abrir puertos”
Esto explica algo con lo que seguramente te has encontrado sin saber el porqué exacto: cuando quieres montar algo en tu propia red que sea accesible desde fuera (un servidor de juegos, una cámara IP, un servicio propio), tienes que redirigir un puerto en el router. La razón es NAT: por defecto, el router solo sabe reenviar hacia dentro las respuestas de conexiones que empezaron desde dentro de la red. Si alguien de Internet intenta conectar directamente sin que haya habido antes una petición saliente desde tu red, el router no tiene ninguna entrada en su tabla NAT que le diga a quién reenviar ese tráfico, así que lo descarta.
Redirigir un puerto (port forwarding) es, en el fondo, crear una entrada fija en esa tabla: “todo lo que llegue por el puerto 25565 desde fuera, mándalo siempre al equipo 192.168.1.50 de dentro”. Es exactamente el mismo mecanismo del NAT estático que mencionábamos antes, aplicado a un servicio concreto en vez de a todo el equipo.
Pon a prueba lo que has entendido
Diez dispositivos de una casa comparten la misma IP pública gracias a NAT. ¿Cómo sabe el router a qué dispositivo devolver cada respuesta que llega de Internet?
Resumen rápido
NAT traduce las IPs privadas de tu red local en la IP pública de tu router (y viceversa), y lo hace a nivel de puerto para poder distinguir las conexiones de varios dispositivos a la vez. Existe porque las direcciones IPv4 públicas son limitadas, y puede ser dinámico (lo habitual en casa) o estático (para exponer algo de forma predecible hacia fuera). Es precisamente lo que hace posible que, una vez resuelto un nombre de dominio por DNS, la petición llegue hasta el servidor real aunque esté detrás de una red privada — el paso previo que completa el círculo lo tienes en qué son los registros DNS y cómo apunté los de mi dominio a Netlify.