Firewall SPI vs. NAT: Diferenças-Chave Explicadas

Embora frequentemente combinados em um único dispositivo, a Inspeção Stateful de Pacotes (SPI) e a Tradução de Endereços de Rede (NAT) são mecanismos distintos com propósitos diferentes de segurança e rede.

Firewall SPI (Inspeção Stateful de Pacotes)

Função Principal: Rastreia o estado de conexões ativas (streams TCP, fluxos UDP) em uma tabela de estado. Inspeciona cabeçalhos e contexto de payload para garantir que cada pacote pertença a uma sessão válida e estabelecida.

• Bloqueia: Tráfego de entrada não solicitado, pacotes malformados, anomalias de flags TCP (ex.: NULL, XMAS scans) e tentativas de sequestro de conexão.
• Força: Entende protocolos de camada de aplicação (FTP, SIP, etc.) para abrir/fechar portas dinamicamente para canais secundários.
• Custo: Maior overhead de CPU/memória; tipicamente encontrado em firewalls dedicados/UTMs.

Firewall NAT (Gateway NAT)

Função Principal: Reescreve endereços IP e portas de origem/destino para mapear múltiplos IPs privados (RFC 1918) para um ou poucos IPs públicos.

• Efeito Colateral de Segurança: Oculta topologia interna; bloqueia pacotes de entrada não solicitados porque não existe mapeamento para eles ("deny inbound" implícito).
• Limitações: Não inspeciona payloads nem valida lógica de protocolo. Vulnerável a IP spoofing, tunneling de protocolo e ataques a partir de conexões de saída estabelecidas.
• Problemas de Compatibilidade: Quebra protocolos que embutem endereços IP no payload (FTP, SIP, IPsec AH) sem ALGs (Application Layer Gateways).

Resumo Comparativo

Recurso	Firewall SPI	NAT
Objetivo Primário	Imposição de segurança	Conservação de endereços / conectividade
Inspeciona Payload?	Sim (inspeção profunda possível)	Não (apenas reescrita de cabeçalho)
Rastreia Estado da Conexão?	Sim (tabela de estado completa)	Sim (tabela de mapeamento)
Bloqueia Entrada Não Solicitada?	Sim (política explícita)	Sim (implícito, sem mapeamento)
Para DDoS / Scan?	Sim (rate limiting, detecção de anomalias)	Parcial (oculta alvos)
Quebra Alguns Apps?	Raramente	Sim (requer ALGs)

Prática Moderna

Quase todos os "firewalls" empresariais e de consumo (roteadores) implementam ambos: NAT para endereçamento e SPI para segurança. Um firewall SPI autônomo fica no perímetro da rede atrás do gateway NAT em arquiteturas maiores.

• Código de Área 800: Gratuito, Não Geográfico
• Por Que Chamada de Utah Mostra Código de Área Canadense