Network Address Translation (NAT) explicado para IoT

La mayoría de los dispositivos conectados a internet no tienen su propia dirección IP pública. Están en una red privada, comparten una única IP pública y dependen de un router que traduce entre ambas. Ese router hace NAT: Network Address Translation. Este artículo explica qué hace NAT, por qué está en todas partes y qué significa para tu SIM de Simbase.

Qué hace NAT

Un gateway NAT se sitúa entre una red privada y la internet pública. Su función es reescribir las direcciones IP de los paquetes para que:

El tráfico saliente de un dispositivo privado parezca venir de la IP pública del gateway.
El tráfico de respuesta que llega desde internet al gateway se redirija al dispositivo privado correcto.

Un ejemplo simplificado:

Tu portátil (IP privada 192.168.1.10) envía una petición a un servidor web.
El paquete sale de tu portátil con origen 192.168.1.10 y destino 93.184.216.34 (el servidor).
El router o gateway NAT intercepta el paquete. Sustituye el origen por su propia IP pública (por ejemplo 203.0.113.5), anota la correspondencia (192.168.1.10:55124) ↔ (203.0.113.5:62001) en su tabla NAT y lo reenvía.
El servidor responde a 203.0.113.5:62001.
El router consulta la tabla NAT, ve que corresponde a 192.168.1.10:55124, reescribe el destino y reenvía la respuesta a tu portátil.

Tu portátil nunca supo que estaba detrás de NAT. El servidor web nunca supo que había una red privada.

Por qué existe NAT

Por tres motivos:

Ahorrar direcciones IPv4. Hay unos 4.300 millones de direcciones IPv4, pero muchísimos más dispositivos. NAT permite que miles de dispositivos compartan una sola dirección.
Protección como efecto secundario. Los dispositivos detrás de NAT no son accesibles directamente desde internet. Los paquetes que llegan al gateway sin una entrada correspondiente en la tabla NAT se descartan. Es un comportamiento por defecto útil, pero no es un firewall y no deberías usarlo como tal.
Redes independientes. Cada red privada puede usar el mismo espacio de direcciones (192.168.x.x) sin coordinarse con nadie.

Desventajas de NAT

Las conexiones entrantes están bloqueadas por defecto. Si algo en internet quiere comunicarse con tu dispositivo, no puede iniciar la conexión. Hay alternativas (port forwarding, NAT traversal, hole punching), pero son complejas y poco fiables.
Algunos protocolos tienen problemas. Todo lo que incluye direcciones IP dentro de los datos de la aplicación (VoIP antiguo, FTP en modo activo, algunos protocolos VPN) falla detrás de NAT, salvo que el gateway tenga helpers específicos.
El seguimiento de conexiones tiene límites. Los dispositivos con un throughput muy alto pueden agotar la tabla NAT de gateways pequeños.
El registro de logs es más difícil. Desde internet, todos tus dispositivos parecen una sola IP, así que para atribuir tráfico a un dispositivo concreto necesitas los logs del gateway NAT.

NAT y las SIM de Simbase

Por defecto, cada SIM de Simbase está detrás de un gateway NAT en el core móvil de Simbase. Esto significa que:

La SIM puede iniciar conexiones salientes hacia tus API, brokers MQTT, servidores web o cualquier cosa en internet.
La SIM no puede aceptar conexiones entrantes. Tus servidores no pueden abrir una conexión directa con la SIM.
La SIM recibe una IP privada que no es visible desde internet.

Para los casos de uso IoT típicos (un dispositivo que consulta un servidor o envía datos por MQTT o HTTP), esto es justo lo que quieres. Es seguro, sencillo y no cuesta nada extra.

Cuándo NAT se convierte en un problema

NAT te estorba cuando necesitas acceder al dispositivo desde fuera:

SSH remoto a un router o gateway
Interfaz de configuración remota en un dispositivo desplegado
Push iniciado por el servidor hacia el dispositivo (por ejemplo, "despierta y envía datos")
Alojar un servicio en el dispositivo (servidor web, stream de cámara RTSP)
VPN site-to-site terminada en el dispositivo

En todos estos casos tienes que saltarte NAT para esa SIM. Simbase lo hace asignando una IP pública, que enruta el tráfico por un gateway dedicado con una dirección enrutable.

Consulta IP públicas para ver los pasos.

NAT frente a CGNAT

Es posible que veas CGNAT (Carrier-Grade NAT) en temas de redes móviles. CGNAT es NAT aplicado a nivel de operador. Tu operador te pone detrás de su IP pública antes de que tu tráfico llegue a internet. La mayoría de las redes móviles de consumo usan CGNAT. Para el dispositivo, es idéntico a un NAT normal.

Las SIM sin IP pública pasan por NAT en el gateway de Simbase. El efecto es el mismo que el CGNAT de una red móvil de consumo: una IP privada en el dispositivo, una dirección pública compartida hacia internet y ninguna conexión entrante.

Preguntas frecuentes

No. El port forwarding requiere control sobre el gateway NAT. El gateway NAT de Simbase es compartido y no es configurable por el usuario. Si necesitas acceso entrante en puertos concretos, asigna una IP pública y usa las reglas de firewall de ese gateway.

No. MQTT usa una conexión saliente de larga duración. El cliente la abre, el broker la mantiene abierta y los mensajes fluyen en ambos sentidos por esa única conexión. NAT lo gestiona sin problemas.

No, el gateway NAT las aísla. Pueden comunicarse a través de un servidor público (o una VPN) al que ambas lleguen con conexiones salientes.

Indirectamente. Simbase asigna las IP por DHCP al registrarse en la red, así que la SIM puede recibir una IP privada distinta cada vez. NAT lo gestiona de forma transparente para las conexiones salientes. Si necesitas una dirección estable, asigna una IP pública para tener una dirección estática enrutable, o usa una red privada para direccionamiento estático dentro de tu propia subred.