Módulo 1, Lição 3 — NAT, DNAT e SNAT

Tempo estimado: 4h · Pré-requisito: Lições 1 e 2 · Última lição do Módulo 1

---

1. Por que essa lição existe

Lembra da Lição 1, quando eu falei "guarda essa palavra, NAT, ela é o tema da Lição 3"? Chegou a hora. NAT é a peça que explica por que um PC com IP privado consegue navegar na internet inteira, e por que, ao mesmo tempo, ninguém de fora consegue simplesmente "chegar" nele sem alguém abrir uma porta de propósito.

Essa é também a última peça que faltava pra você entender, de ponta a ponta, o que o pfSense vai estar fazendo o tempo todo.

---

2. NAT — a analogia da recepção do prédio

Imagina um prédio de escritórios com uma única linha telefônica "oficial" pra fora — o número que está no cartão de visita da empresa. Só que dentro do prédio, cada funcionário tem um ramal interno (101, 102, 103...). Quando o funcionário do ramal 102 liga pra um cliente, o cliente vê no identificador de chamadas o número oficial do prédio, não o ramal. Se o cliente retornar a ligação, a recepcionista pergunta "quem você quer falar?" e transfere pro ramal certo — mas só porque ela lembra que aquela ligação específica estava em andamento com o ramal 102.

NAT (Network Address Translation) é exatamente essa recepcionista: ela troca o endereço "interno" pelo endereço "oficial" quando a ligação sai, e sabe trazer a resposta de volta pro ramal certo, porque guardou essa informação numa tabelinha.

No caso concreto de uma rede doméstica:

• O "prédio" é sua casa.
• O "número oficial no cartão de visita" é o IP público que sua operadora de internet te dá (o IP do seu roteador, na interface que dá pra internet).
• O "ramal" é o IP privado do seu PC.

Quando seu PC visita um site, o roteador troca o IP privado pelo IP público dele antes de mandar o pacote pra internet — e guarda numa tabela interna "essa conversa é desse dispositivo". Quando a resposta chega, o roteador olha a tabela e sabe pra quem devolver. Do lado de fora, ninguém nunca soube que o IP privado existe — só viram o IP público do roteador.

💡 Dica de professor: é exatamente por isso que um IP privado, sozinho, já funciona como uma camada de proteção natural — ninguém de fora consegue simplesmente "discar" pro ramal 102 sem passar pela recepção primeiro. Mas atenção: NAT não é firewall. NAT existe pra tradução de endereço, não pra segurança — ele só tem o efeito colateral de dificultar acesso de fora. O pfSense vai fazer as duas coisas, mas são funções diferentes dentro dele.

---

3. SNAT — troca o remetente (algo que você já vive todo dia)

SNAT (Source NAT) é o nome técnico exato do que acabei de descrever: trocar o endereço de origem de um pacote quando ele sai da rede privada rumo à internet. "Source" = origem, quem está mandando.

Todo roteador doméstico faz SNAT o tempo inteiro, de forma automática — é literalmente a função que permite vários dispositivos da sua casa (celular, notebook, smart TV) compartilharem um único IP público pra sair na internet.

Você não precisa configurar nada pra ver isso funcionando — já está funcionando agora. Mas dá pra comprovar de fora:

curl ifconfig.me

Esse comando pergunta pra um servidor externo "qual IP você está me vendo chegar?". Compare o resultado com o IP que ip addr show mostra na sua máquina — vão ser diferentes. O que o servidor externo vê é o IP público do seu roteador, não o seu IP privado real. Essa diferença é o SNAT em ação.

---

4. DNAT — troca o destinatário (a porta dos fundos, de propósito)

Se SNAT é sobre "sair", DNAT (Destination NAT) é sobre "entrar" — é quando você quer que alguém de fora consiga alcançar um serviço específico dentro da sua rede privada. "Destination" = destino, pra onde o pacote está indo.

Voltando à analogia da recepção: imagina que a empresa também tem um número direto pro setor de suporte técnico, divulgado publicamente — quando alguém disca esse número específico, a recepção já sabe, de antemão, que deve transferir direto pro ramal 305, sem perguntar nada. Isso é DNAT: uma regra fixa, configurada de propósito, dizendo "todo tráfego que chegar na porta X vai direto pro dispositivo Y, porta Z". No mundo real isso costuma se chamar port forwarding (redirecionamento de porta) — é o mesmo conceito, nome mais popular.

4.1 Onde isso te afeta de verdade

Pensa no plano de um servidor de arquivos (Samba) rodando atrás do futuro pfSense. Se um dia você quiser acessar esse Samba de fora de casa, teria duas opções:

1. DNAT/port forwarding direto — configurar o pfSense pra encaminhar uma porta pública pro Samba interno. Não recomendado pra Samba (protocolo SMB tem histórico ruim de segurança quando exposto direto na internet).
2. Um túnel privado (Tailscale, por exemplo) — não precisa de DNAT nenhum, porque o tráfego nem passa pela internet pública "crua", ele viaja dentro do túnel criptografado.

💡 Dica de professor: essa é a mesma lógica de sempre preferir uma VPN privada a abrir portas direto pra internet quando o serviço não precisa ser 100% público.

4.2 Um exemplo de DNAT que você já viu, sem perceber: proxy reverso

Tecnicamente, um servidor nginx configurado como proxy reverso não faz "DNAT" no sentido de rede pura — ele opera numa camada mais alta (é tradução de aplicação, não de pacote). Mas o efeito que ele produz é conceitualmente parecido, e ajuda a fixar a ideia: quando alguém acessa um domínio público, é o nginx que decide pra qual pasta/serviço interno aquele pedido vai — uma regra fixa, configurada de propósito, redirecionando um pedido de fora pro destino certo internamente. A diferença é que nginx trabalha olhando o conteúdo do pedido (o domínio, o caminho da URL), enquanto DNAT de verdade trabalha só olhando endereço IP e porta, sem saber nada do que tem dentro.

---

5. Uma VPS com IP público não usa NAT (e isso é importante entender por quê)

Pegadinha de prova, literalmente: uma VPS com IP público não usa NAT nenhum. Por quê? Porque o IP dela já é um IP público, atribuído diretamente à interface de rede. Não existe "recepção" traduzindo nada — o pacote chega direto no destino final.

O que a VPS tem é filtragem (um firewall tipo UFW): regras de "permitir" ou "bloquear" tráfego, mas sem trocar endereço nenhum. É um erro comum (e eu quero que você não caia nele) confundir "firewall que filtra" com "NAT que traduz" — são coisas diferentes que costumam aparecer juntas no mesmo aparelho (seu roteador de casa faz as duas; o pfSense vai fazer as duas), mas são funções distintas.

	Rede de casa (roteador)	VPS com IP público
IP da rede	Privado (192.168.x.x)	Público, direto
Precisa de NAT?	Sim — pra compartilhar 1 IP público entre vários dispositivos	Não — já tem IP público próprio
Tem filtragem (firewall)?	Sim, geralmente básica	Sim — configurável (ex: UFW)

---

6. Exercícios práticos

Exercício 1 — Comprove o SNAT do seu roteador:

ip addr show | grep inet    # seu IP privado
curl ifconfig.me            # o IP que o mundo externo vê

Confirme que são diferentes, e explique com suas palavras por que isso comprova que existe SNAT acontecendo.

Exercício 2 — Veja regras de firewall (filtragem, não NAT) numa VPS, se você tiver uma configurada:

ssh root@SEU_IP "ufw status verbose"

Note que não tem tradução de endereço nenhuma ali — só "permitir"/"negar" por porta.

Exercício 3 (reflexão, sem comando) — Pense num cenário de acessar um servidor de arquivos de casa a partir de uma VPS externa. Por que usar um túnel privado (tipo Tailscale) em vez de fazer DNAT direto no roteador de casa é a opção mais segura? Tente escrever a resposta com suas próprias palavras.

Responda o questionário abaixo pra fechar a lição — e o Módulo 1 inteiro.