Soluciones NAT para redes corporativas con escasez de IPv4

El problema de fondo: por qué las soluciones NAT IPv4 se han vuelto imprescindibles

Las direcciones IPv4 se agotaron en los cinco RIR entre 2011 y 2015. Y desde entonces, cualquier organización que necesite bloques nuevos tiene que acudir al mercado secundario, donde un /24 ronda hoy los 30-45 USD por dirección. Hablamos de entre 7.500 y 11.000 USD por prefijo, según el RIR de origen y el estado de la lista negra. Con precios así, no sorprende que muchos equipos de red apuesten por las soluciones NAT IPv4 para exprimir al máximo los bloques que ya poseen o han alquilado.

Sería deshonesto presentarlo como una solución elegante. No lo es: rompe el modelo extremo a extremo, complica el registro de logs y puede dar guerra con aplicaciones sensibles. Pero bien diseñado, aguanta años de operación mientras se completa (o no) la migración a IPv6. En este artículo repasamos las alternativas disponibles, sus ventajas, sus límites y cómo combinarlas con estrategias de adquisición de direcciones.

NAT de perímetro: la opción básica para oficinas y sucursales

El clásico NAT/PAT en el firewall de salida sigue siendo suficiente para sedes corporativas cuyo consumo de direcciones públicas es reducido. Si solo necesitas salida a Internet para los empleados y algunos servicios publicados mediante reenvío de puertos, un único bloque pequeño puede dar servicio a miles de hosts internos en RFC 1918.

Buenas prácticas con NAT de perímetro

• Usa pools y no una única IP: distribuye las conexiones salientes entre varias direcciones para evitar límites de sesiones por IP y facilitar la reputación de correo.
• Documenta los mapeos estáticos: cada puerto publicado debe tener responsable y justificación. Los mapeos huérfanos son una superficie de ataque clásica, créeme.
• Controla el tamaño de la tabla NAT: firewalls de gama media saturan con 100.000-500.000 sesiones concurrentes. Dimensiona con margen del 40 %.

CGNAT (RFC 6598): cuando el volumen de usuarios es masivo

Para operadores de ISP, hosting con clientes finales o grandes corporaciones con WiFi de invitados masivo, el Carrier-Grade NAT es la solución más extendida. CGNAT emplea el rango compartido 100.64.0.0/10 en el lado del cliente y traduce a un pool público reducido, alcanzando ratios de reutilización de 1:500 o superiores.

Elegir ratios de traducción con criterio

El ratio no es solo un número: determina los límites por suscriptor. Piensa en 1:1000 con 1024 puertos por usuario (reparto de los 65.535 puertos TCP/UDP): cada suscriptor queda con un puñado de puertos simultáneos, y eso rompe aplicaciones P2P, videollamadas intensivas y juegos. ¿Un punto de partida habitual en producción? 1:256 con asignación de bloques de puertos, que además simplifica los logs.

Registro de logs y determinismo

Aquí está el punto crítico del CGNAT: la trazabilidad. Con traducciones dinámicas masivas, retener logs completos de sesiones resulta inviable (estamos hablando de terabytes diarios). La alternativa recomendada es el port-range forwarding determinista: si asignas bloques de puertos predecibles por suscriptor, puedes reconstruir quién estaba detrás de una IP con solo conocer la IP pública, el puerto y el timestamp, sin almacenar cada sesión. Eso sí, mantén una copia de seguridad documentada del algoritmo de asignación; en procesos judiciales y requerimientos de las autoridades es requisito habitual.

NAT444, DUAL-STACK Lite y 464XLAT

Si tu red ya despliega IPv6 en el acceso, existen arquitecturas que reducen la dependencia del NAT dinámico:

• NAT444: dos niveles de NAT (el del cliente y el del operador). Funciona, pero agrava los problemas de alcance de aplicaciones y de identificación de usuarios. Evítalo como arquitectura deliberada si puedes.
• DUAL-STACK Lite (DS-Lite, RFC 6333): el cliente recibe solo IPv6 y el tráfico IPv4 se tuneliza mediante 4v6 hacia un AFTR que hace el NAT. Elimina direcciones públicas del acceso por completo.
• 464XLAT (RFC 6877): combinación de traducción stateless 464 y stateless 6. Imprescindible para soportar aplicaciones con literales IPv4 incrustados; es el modelo que popularizó T-Mobile USA y el más robusto para redes móviles.

Límites del NAT: cuándo ya no basta

El NAT resuelve la salida a Internet. Pero tiene límites duros que conviene reconocer:

• Servicios entrantes: no puedes publicar servidores web, correo, VPN site-to-site o VoIP SIP sin tramos de direcciones reales. Cada servicio publicado consume IP o puertos estáticos.
• Geolocalización y reputación: compartir IPs públicas entre cientos de usuarios degrada la reputación de envío de correo y puede provocar bloqueos por servicios de geolocalización y antifraude.
• Requisitos normativos: determinados clientes y certificaciones (PCI DSS en escenarios concretos, requisitos de trazabilidad) exigen logs precisos que el NAT dinámico encarece.
• BYOIP en la nube: para anunciar tus propios prefijos en AWS, GCP o Azure necesitas bloques propios, no rangos NAT.

Cuando te topas con estos límites, la respuesta no es más NAT. Es más direcciones. Y ahí entran el alquiler y la compra en el mercado secundario.

Combinar NAT con la compra o alquiler de direcciones IPv4

Para la mayoría de organizaciones, la estrategia más eficiente es híbrida: mantener NAT donde es aceptable (usuarios finales, invitados, entornos efímeros) y adquirir direcciones reales para lo que lo necesita (servicios, CGNAT pools con ratios razonables, BYOIP).

El alquiler de IPv4 funciona especialmente bien como puente: obtienes un /22 o /24 por una fracción del coste de compra mientras planificas tu despliegue IPv6 o tu adquisición definitiva. Antes de alquilar o comprar, verifica siempre:

1. Que el bloque no figure en listas negras relevantes (Spamhaus, Firehol, UCEPROTECT) y solicita limpieza previa si procede.
2. Que la transferencia o el alquiler se articulen con contrato y LOA correctamente emitidos ante el RIR correspondiente (RIPE NCC, LACNIC, ARIN…).
3. Que el vendedor esté verificado y tenga titularidad demostrable del recurso, evitando bloqueos por reclamaciones posteriores.
4. Que el prefijo permita crear ROA para tu validación RPKI, algo imprescindible hoy para evitar problemas de enrutamiento.

Una plataforma como IP4 Market simplifica todo este proceso: ofrece vendedores verificados, precios competitivos y soporte en la documentación RIR y en la gestión de LOA, tanto para compra como para alquiler de bloques de cualquier tamaño.

Plan de acción recomendado

1. Audita tu consumo real: muchas redes descubren que el 30 % de sus IPs públicas están ociosas o asignadas a servicios retirados.
2. Segmenta: usa NAT (o incluso 100.64.0.0/10 internamente) para usuarios y reserva direcciones públicas para servicios.
3. Define tu estrategia IPv6: todo lo que hagas con NAT debe tener fecha de caducidad o justificación estructural.
4. Decide compra frente a alquiler: el alquiler resiste picos y proyectos cortos; la compra se amortiza si la necesidad es permanente, dado que los precios históricos de IPv4 han mantenido una tendencia alcista desde 2015.

Conclusión

La escasez de IPv4 no va a remitir a corto plazo, y las soluciones NAT IPv4 seguirán siendo una herramienta central en las redes corporativas: desde el PAT de perímetro hasta arquitecturas CGNAT, DS-Lite o 464XLAT diseñadas con ratios razonables, logs deterministas y capacidad dimensionada. Pero el NAT tiene límites claros. La estrategia ganadora combina un uso inteligente de la traducción con la adquisición de direcciones reales donde hacen falta: servicios publicados, BYOIP en cloud y pools con buena reputación. Si tu organización necesita ampliar su espacio de direcciones, evalúa en IP4 Market las opciones de compra y alquiler con vendedores verificados, y dale a tu red el margen que necesita mientras madura la migración a IPv6.