¿Qué es NAT y cómo afecta a tus dispositivos IoT?

NAT (Network Address Translation, traducción de direcciones de red) es el mecanismo por el que un router convierte las direcciones IP privadas de los dispositivos de una red local en una única IP pública hacia internet, y viceversa.

La razón de su existencia es práctica: las direcciones IPv4 públicas son un recurso limitado. En lugar de asignar una IP pública a cada dispositivo, NAT permite que decenas, cientos o miles de equipos compartan una sola. El router lleva una tabla interna —la NAT table— en la que registra qué petición saliente corresponde a qué dispositivo de la red local, y cuando llega la respuesta de internet la entrega al dispositivo correcto.

El mecanismo es tan habitual que casi todo el tráfico de internet doméstico y corporativo pasa hoy por alguna forma de NAT. Tu router de casa lo hace; el router de tu oficina también; y tu operador móvil aplica una versión aún más agresiva.

El flujo básico de una comunicación con NAT tiene siempre el mismo patrón: el dispositivo interior inicia la conexión hacia fuera, y el router registra esa salida para poder devolver la respuesta al remitente correcto.

El router usa el puerto de red (un número del 1 al 65535) para distinguir qué respuesta pertenece a qué dispositivo, incluso si varios están haciendo peticiones a la vez. Esta variante se llama PAT o NAPT (Port Address Translation), y es la que usa casi todo el mundo.

El problema surge cuando el tráfico viene en sentido contrario: si alguien externo quiere conectarse a un dispositivo que está detrás del NAT, el router no sabe a qué equipo interno dirigir esa conexión entrante. Por defecto, la descarta.

En redes móviles, el problema se magnifica. Los operadores aplican CGNAT (Carrier-Grade NAT): en vez de asignar una IP pública a cada SIM, agrupan a miles de clientes detrás de un número reducido de IPs públicas. Así el dispositivo tiene una IP privada asignada por el operador (no por tu router), que a su vez sale a internet con una IP pública compartida con muchos otros.

Con CGNAT hay una segunda capa de NAT entre tu dispositivo y el mundo exterior: primero el router local (si lo hay) y luego el CGNAT del operador. El resultado práctico es que tu dispositivo IoT queda doblemente oculto, sin ninguna forma estándar de que alguien inicie una conexión hacia él desde fuera.

En la mayoría de proyectos IoT el flujo es solo saliente: el sensor envía datos a la nube, la alarma reporta un evento, el contador sube la lectura. Para esos casos, el NAT no es un problema. El NAT empieza a ser un obstáculo cuando necesitas llegar tú al dispositivo, no al revés.

Hay varias formas de resolver el acceso a dispositivos IoT detrás de NAT, cada una con sus implicaciones:

• IP fija + IP pública. Contratar con el operador que la SIM tenga una IP fija y pública. El dispositivo deja de estar detrás del CGNAT y tiene una dirección estable alcanzable desde internet. Requiere protegerla bien con cortafuegos o autenticación, porque queda expuesta.
• APN privado. El dispositivo sale por un APN privado que conecta directamente con la red corporativa o con una VPN. No queda expuesto en internet, pero sí es alcanzable desde tu red interna con IP fija privada. Es la opción más segura para parques críticos.
• Túnel inverso o conexión persistente. El dispositivo establece y mantiene una conexión saliente con un servidor de gestión (MQTT, WebSocket, VPN client…). Cuando necesitas enviarle un comando, lo haces a través de ese canal ya abierto. No requiere IP fija pero sí que el dispositivo tenga siempre la conexión activa.
• Port forwarding. Configurar en el router o gateway que el tráfico entrante a un puerto determinado se reenvíe a la IP privada del dispositivo. Útil en entornos controlados con router propio, pero no funciona detrás del CGNAT del operador sin IP pública asignada.

Para la mayoría de despliegues IoT profesionales, la combinación de APN privado con IP fija privada es el equilibrio óptimo entre accesibilidad y seguridad: el dispositivo es alcanzable desde tu red, sin quedar expuesto a internet.

Si tu proyecto requiere acceso remoto a los dispositivos y no tienes claro si necesitasIP fija, APN privado o ambos, cuéntanos tu arquitectura y te ayudamos a elegir la configuración adecuada sin pagar de más.