"NAT is a firewall"

redessegurança

A crença de que tradução de endereços é um controle de segurança. O NAT esconde topologia como efeito colateral, mas não filtra nada por política - um firewall stateful sim.

A confusão vem de roteadores domésticos empacotarem ambos; o RFC 4864 existe em parte para separar 'segurança do NAT' de proteção real, e o IPv6 sem NAT reabriu o debate.

A crença de que NAT é firewall é uma das concepções erradas mais persistentes e consequentes de redes. O NAT de fato impede conexões de entrada não solicitadas, e é por isso que a crença sobrevive, mas faz isso como efeito colateral de não haver entrada de tradução para tráfego que ninguém pediu, e não como decisão de segurança.

A distinção tem dentes. Um firewall inspeciona tráfego contra uma política que você escreveu, registra o que negou, e impõe regras tanto no tráfego de saída quanto no de entrada. O NAT não faz nada disso: não tem política, não tem noção de permitido e negado, não registra decisões que nunca tomou, e não aplica restrição alguma ao que um host interno decida iniciar. Malware chamando para fora não é afetado em nada.

A consequência é um grande número de redes internas planas atrás de um equipamento que todos supunham protegê-las, em que qualquer host comprometido alcança todos os outros sem passar por um único controle. O IPv6 remove a proteção acidental junto com a escassez de endereços que a causou, e é por isso que implantações que trataram NAT como segurança descobrem que precisam de uma política de firewall de verdade pela primeira vez, e por que essa descoberta deveria acontecer deliberadamente, e não durante um incidente.

Contestado / frequentemente mal contado Uma versão popular desta história é imprecisa - veja a nota acima.

Também conhecido como: nat security myth

← Todos os verbetes do glossário