NAT e PAT: come funzionano e perché sono ovunque

Il NAT (Network Address Translation) è la tecnologia che ha permesso a IPv4 di sopravvivere ben oltre la sua scadenza tecnica. Ogni router domestico e ogni firewall aziendale usa NAT per tradurre indirizzi privati in indirizzi pubblici, ma esistono varianti diverse e configurazioni avanzate che ogni sysadmin deve conoscere per gestire correttamente la rete.

NAT, PAT, SNAT, DNAT: terminologia

Il NAT classico (1-to-1) traduce un'indirizzo privato in un'indirizzo pubblico mantenendo lo stesso numero di porta. Il PAT (Port Address Translation), detto anche NAT overload, traduce molti indirizzi privati in un'unico pubblico cambiando le porte sorgente. Il SNAT (Source NAT) modifica l'indirizzo sorgente in uscita, mentre il DNAT (Destination NAT) modifica l'indirizzo destinazione in ingresso ed è quello che permette il port forwarding per pubblicare servizi interni.

Perché serve il NAT

Anche con IPv6 in arrivo, il NAT continua a essere uno strato implicito di sicurezza: gli host interni non sono direttamente raggiungibili dall'esterno se non tramite regole DNAT esplicite. Inoltre permette di nascondere la topologia interna, semplifica la rinumerazione e supporta il fail-over WAN con doppia uscita internet.

Procedura passo-passo

1. Identifica le subnet private da nattare (RFC1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16).
2. Configura una regola di SNAT (o masquerade) sull'interfaccia WAN che traduce le subnet private in IP pubblico.
3. Per pubblicare servizi interni, crea regole DNAT: porta esterna verso IP interno + porta interna.
4. Aggiungi sempre una regola firewall che permette il traffico verso la destinazione tradotta.
5. Per scenari multi-WAN, usa policy routing per scegliere quale uscita NATtare.
6. Testa con tcpdump o Wireshark per verificare che gli header siano riscritti correttamente.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Hairpin NAT non funzionante: quando un client interno cerca di raggiungere il server interno tramite IP pubblico, serve abilitare NAT reflection o usare split DNS.
• Doppio NAT: l'ISP fa NAT (CGNAT) e poi il tuo router fa NAT di nuovo. Crea problemi a VPN e VoIP. Richiedi IP pubblico statico.
• Conntrack table piena: dispositivi con molte connessioni esauriscono la tabella di tracciamento. Aumenta net.netfilter.nf_conntrack_max su Linux.
• NAT su VPN site-to-site: spesso non è necessario, anzi rompe IPsec. Usa subnet diverse per evitarlo.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con NAT e PAT, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per NAT e PAT questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Il NAT è un sistema di sicurezza?
R: No, ma offre opacità. Un firewall stateful resta indispensabile.

D: Posso fare NAT su IPv6?
R: Sì con NPTv6 (Network Prefix Translation), ma non è raccomandato.

D: Quante connessioni può gestire un router NAT?
R: Dipende dalla CPU e dalla RAM. Un Mikrotik hAP ax3 arriva a 100mila connessioni, un FortiGate enterprise a milioni.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.