Las direcciones IPv4 se encuentran formadas por 32 bits y permiten la creación de un total de 4.294.967.296 direcciones. Inicialmente, se pensaba que esta cantidad sería suficiente para asignar una a cada dispositivo en el mundo. Sin embargo, con el boom de Internet, la demanda aumentó tanto que esta cantidad resultó insuficiente. El número de IP disponibles era mucho menor que la cantidad de dispositivos que se conectaban a Internet.

Para abordar este problema, se implementaron varias estrategias provisionales:

• Reservar algunos bloques de direcciones (direcciones privadas)
• Uso de direccionamiento sin clase (CIDR)
• NAT (Network Address Translation)

El protocolo IPv4 permitía a los nodos u hosts conectarse a Internet utilizando IP públicas. Las empresas y organizaciones solicitaban bloques de direcciones al RIR correspondiente, que asignaba bloques según las necesidades. Las IP públicas son aquellas enrutables en Internet, mientras que las privadas no lo son y pueden usarse sin autorización formal.

Cómo Funciona NAT

NAT significa traducción de direcciones IP. Su función es traducir una dirección IP privada a una dirección IP pública y viceversa. Es esencial para que dispositivos con IP privadas se comuniquen a través de Internet. ¿Pero por qué no usar directamente IP públicas?

• Soluciona provisionalmente el agotamiento de IPv4.
• Reduce el costo elevado de obtener IP públicas.
• Permite conectar miles de dispositivos a Internet utilizando una sola dirección IP pública.

Por ejemplo, si un PC con IP local (192.168.1.30) quiere enviar un paquete a Internet, el DHCP envía la IP a la NAT para que la traduzca a una IP pública y salga a Internet. Al regresar, la NAT traduce la IP pública de vuelta a privada y la envía al dispositivo.

La mayoría de los routers en hogares y empresas utilizan NAT para traducir las IP privadas de cada dispositivo a la IP pública asignada por su ISP o RIR.

Tipos de NAT

NAT Estática: Traduce siempre una dirección privada a una misma dirección pública, configurada manualmente. Es útil para dispositivos que necesitan una dirección fija accesible desde Internet, como servidores web, aunque tiene riesgos de seguridad.

NAT Dinámica: Asigna direcciones IP públicas de un grupo a direcciones privadas. Puede asignar varias IP públicas, ocultando direcciones internas de la LAN.

NAT con Sobrecarga: Permite que múltiples dispositivos usen una sola IP pública mediante puertos (TCP y UDP). El router asocia puertos de origen con IP públicas y puertos al azar.

PAT (Port Address Translation): Permite que varias IP privadas se conecten a Internet usando una sola IP pública, traduciendo mediante puertos. Ofrece mayor seguridad y es ideal para redes locales pequeñas.

Ventajas de NAT

• Ahorro de direcciones IPv4, permitiendo múltiples dispositivos con una única IP pública.
• Configuración sencilla y poco mantenimiento.
• Aporta una capa de seguridad al no ser visibles los dispositivos de la red local desde el exterior.
• Compatible con la mayoría de protocolos de comunicación actuales (TCP y UDP).

Desventajas de NAT

• Requiere mayor potencia de procesamiento del router.
• Puede deteriorar el rendimiento y aumentar la latencia.
• Incompatible con algunos protocolos de capas superiores.
• Dificulta el seguimiento IP de extremo a extremo y la resolución de problemas remota.
• Puede afectar negativamente a los juegos online.

NAT vs. IPv6

NAT es una solución provisional y no definitiva al problema del agotamiento de direcciones IP. Aunque permite la creación de redes locales de manera flexible, tiene sus inconvenientes. IPv6, con una mayor cantidad de IP disponibles, es la solución definitiva. Permite que cualquier nodo tenga una dirección IP pública, resolviendo problemas de conectividad de extremo a extremo y proporcionando mecanismos de seguridad integrados.

Con la adopción de IPv6, la necesidad de NAT disminuiría, facilitando una mejor conectividad y seguridad en Internet. Sin embargo, la transición a IPv6 es un proceso largo y gradual que aún está en curso.

---

CGNAT: cuando ni siquiera tu IP pública es tuya

Hay un escalón más que casi nunca se explica y que afecta hoy a millones de conexiones domésticas en España. Cuando a una operadora tampoco le llegan las IPv4 para dar una a cada cliente, aplica NAT una segunda vez, dentro de su propia red. Es el Carrier-Grade NAT o CGNAT.

El resultado es que tu router ya no recibe una dirección pública de verdad, sino otra privada del rango del operador, y tu conexión comparte una sola IP pública con decenas o cientos de abonados a la vez. Para navegar y ver vídeo es transparente. Para todo lo demás, no:

• Se acaba la apertura de puertos. No puedes exponer nada desde casa —una cámara, un NAS, un servidor de juego, un pequeño servicio autoalojado— porque la traducción no la controlas tú.
• El NAT «estricto» de las consolas. Ese aviso que sale en los juegos online y que no hay manera de arreglar tocando el router suele ser exactamente esto.
• Pagas por las culpas de otro. Si alguien que comparte tu IP pública abusa de un servicio, el bloqueo o el captcha te caen a ti también.

La vía de salida habitual es pedir a la operadora una IP pública —gratis o de pago según el contrato—, tirar de IPv6 si la red la ofrece, o montar un túnel a través de un servidor propio.

Y aquí es donde NAT deja de ser un tecnicismo

Que muchos usuarios compartan una dirección pública no es solo una molestia doméstica: es el motivo por el que bloquear una dirección IP es un instrumento tan tosco. La misma lógica que hace que una operadora meta a cien abonados detrás de una IP hace que un CDN sirva decenas de miles de dominios desde otra.

Cortar esa dirección para perseguir a uno se lleva por delante a todos los demás. En España está documentado con casos concretos —desde una pasarela de pagos hasta un videojuego online— y es la raíz del conflicto que hemos reunido en Bloqueos de Internet en España: cómo funcionan, por qué fallan y a quién se llevan por delante.

Dicho de otro modo: NAT nos permitió estirar IPv4 treinta años más de lo previsto, y el precio fue que la dirección IP dejó de identificar a nadie en concreto. Quien diseña una orden de bloqueo por IP está usando como identificador algo que hace décadas que no lo es.

Cómo se saltan NAT las videollamadas: STUN, TURN e ICE

Queda una pregunta obvia: si nadie puede iniciar una conexión hacia dentro de una red con NAT, ¿cómo funcionan las videollamadas entre dos casas, que son conexiones directas entre iguales?

Con un conjunto de técnicas llamado NAT traversal. STUN permite a un equipo preguntar a un servidor externo con qué IP y puerto públicos se le está viendo desde fuera; con ese dato, los dos extremos se anuncian mutuamente sus coordenadas reales y abren la conexión directa. Cuando el tipo de NAT es demasiado restrictivo y eso falla —caso frecuente bajo CGNAT— entra TURN, que actúa de repetidor y hace pasar todo el tráfico por un servidor intermedio, con el coste de ancho de banda que eso implica. ICE es el procedimiento que prueba las alternativas por orden y se queda con la primera que funciona.

Es la maquinaria que hay debajo de WebRTC, y por tanto de casi cualquier videollamada que se abra hoy en un navegador. Buena parte de la complejidad de Internet moderno existe para compensar una solución provisional de los años noventa que nunca se retiró.