hairpin NAT
gíriaAlcançar o próprio endereço público de dentro da própria rede - o tráfego sai até o NAT e faz o grampo de volta para dentro.
Sem suporte a hairpin NAT (NAT loopback), um cliente interno que pede o IP público da empresa não chega a lugar nenhum - e é por isso que o DNS split-horizon costuma responder com o endereço interno. O nome é o desenho que o tráfego faz: sai, meia-volta, volta.
A RFC 4787 define o caso com precisão: dois hosts estão atrás do mesmo NAT, X1 envia para o endereço e a porta externos que o NAT alocou a X2, e o NAT tem de devolver o tráfego para dentro. O REQ-9 dela torna o hairpinning obrigatório para UDP, e a RFC 5382 faz o mesmo para TCP. O comportamento exigido é que X2 veja o pacote chegar do endereço e da porta externos de X1, e não do endereço privado.
Num exemplo calculado com o NAT em 203.0.113.1, um pacote de 10.0.0.2:40000 para 203.0.113.1:51234 é entregue a 10.0.0.10:51234 com origem 203.0.113.1:40000. A RFC 5128 registra que nem todo NAT em produção suporta hairpinning e que, mesmo quando suporta, dois pares na mesma rede fazem melhor em se alcançar direto pelos endpoints privados, porque o desvio pelo NAT acrescenta latência e carga.
Também conhecido como: NAT loopback, hairpinning, NAT hairpinning
Fontes
- RFC 4787, Network Address Translation (NAT) Behavioral Requirements for Unicast UDP, January 2007: sections 6 and 12 (read 2026-10-19)
- RFC 5382, NAT Behavioral Requirements for TCP, October 2008: section 8 (read 2026-10-19)
- RFC 5128, State of Peer-to-Peer (P2P) Communication across Network Address Translators (NATs), March 2008: sections 2.10 and 3.3.2 (read 2026-10-19)