Questão de Segurança da Informação — IPSec — FCC 2025

NAT Traversal (NAT-T) no IPSec

Gabarito: letra D. O mecanismo do IPSec que permite que pacotes ESP (Encapsulating Security Payload) atravessem dispositivos NAT/PAT é o NAT Traversal (NAT-T), que encapsula o tráfego ESP em UDP (porta 4500) para que a tradução de endereços e portas funcione sem quebrar a integridade do pacote. As demais alternativas ou são protocolos de tunelamento distintos (L2TP/IPSec, GRE) ou não resolvem o problema específico de atravessar NAT (IKEv2 Fragmentation, NAT Overload).

O IPSec é um conjunto de protocolos que garante confidencialidade, integridade e autenticidade no nível de rede (camada 3 do modelo OSI). Ele opera com dois protocolos de segurança principais: o AH (Authentication Header), que autentica e garante integridade, mas não criptografa; e o ESP (Encapsulating Security Payload), que oferece confidencialidade, integridade e autenticação. O ESP pode operar em dois modos: modo transporte, que protege apenas o payload do pacote IP original, e modo túnel, que encapsula o pacote IP inteiro em um novo pacote IP com cabeçalho IPSec.

O problema com NAT/PAT surge porque o NAT modifica o endereço IP de origem e, no caso do PAT, também a porta de origem. O ESP, no modo transporte, protege o cabeçalho IP original, incluindo o endereço de origem, com um checksum de integridade. Quando o NAT altera esse endereço, o checksum se torna inválido e o pacote é rejeitado pelo destinatário. No modo túnel, o ESP protege o pacote IP original, mas o novo cabeçalho IP externo não é protegido, permitindo que o NAT o modifique. No entanto, o NAT também pode ter problemas com o protocolo ESP (protocolo IP 50), que não possui portas, dificultando o PAT.

O NAT Traversal (NAT-T) resolve esse problema encapsulando o pacote ESP dentro de um datagrama UDP, normalmente na porta 4500. O UDP tem portas de origem e destino, que podem ser traduzidas pelo PAT sem quebrar a integridade do pacote ESP original. O NAT-T é negociado durante o estabelecimento da associação de segurança (SA) pelo IKE (Internet Key Exchange), e ambos os lados devem suportá-lo. Quando ativado, o NAT-T adiciona um cabeçalho UDP ao pacote ESP, permitindo que ele atravesse dispositivos NAT/PAT sem problemas.

Para entender melhor, imagine dois servidores em redes privadas diferentes, conectados à internet através de roteadores com NAT. Sem NAT-T, o pacote ESP enviado pelo servidor A teria seu endereço IP de origem alterado pelo NAT do roteador A, corrompendo o checksum de integridade e fazendo o servidor B rejeitá-lo. Com NAT-T, o pacote ESP é encapsulado em UDP, e o NAT do roteador A traduz o endereço IP e a porta UDP de origem. O servidor B recebe o pacote UDP, remove o cabeçalho UDP e processa o ESP normalmente, pois o checksum do ESP não foi afetado pela tradução.

A distinção crucial é entre NAT-T e outros mecanismos de tunelamento. O L2TP/IPSec é um protocolo de VPN que combina o L2TP (Layer 2 Tunneling Protocol) com o IPSec para fornecer criptografia. O L2TP encapsula o tráfego em um túnel, e o IPSec protege esse túnel. No entanto, o L2TP/IPSec também pode ter problemas com NAT, e o NAT-T é frequentemente usado em conjunto com ele para resolver esse problema. O GRE (Generic Routing Encapsulation) é um protocolo de tunelamento que encapsula pacotes IP dentro de outros pacotes IP, mas não fornece criptografia ou autenticação por si só, e também não resolve o problema de NAT de forma nativa. O IKEv2 Fragmentation é um recurso do IKEv2 que fragmenta pacotes IKE grandes para evitar problemas com MTU, mas não é um mecanismo para atravessar NAT. O NAT Overload é outro nome para PAT (Port Address Translation), que é o próprio mecanismo de tradução que causa o problema, não a solução.

A pegadinha da banca está em confundir o mecanismo específico do IPSec para atravessar NAT (NAT-T) com outros protocolos de tunelamento ou com o próprio NAT. O candidato que conhece apenas os nomes dos protocolos pode escolher L2TP/IPSec ou GRE, mas a questão pede especificamente o mecanismo que encapsula ESP em um protocolo que suporte tradução de portas, que é exatamente o NAT-T.

Guarde a fronteira entre o problema (NAT/PAT quebra o ESP) e a solução (NAT-T encapsula ESP em UDP): é nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O L2TP over IPSec é um protocolo de VPN que combina o L2TP (Layer 2 Tunneling Protocol) com o IPSec para fornecer criptografia. O L2TP encapsula o tráfego em um túnel, e o IPSec protege esse túnel. No entanto, o L2TP/IPSec não é o mecanismo específico que permite que pacotes ESP atravessem NAT/PAT. Na verdade, o L2TP/IPSec também pode sofrer com problemas de NAT, e o NAT-T é frequentemente usado em conjunto com ele para resolver esse problema. A alternativa confunde o protocolo de tunelamento com o mecanismo de travessia de NAT.

Alternativa B — ❌ Incorreta

O GRE Tunneling (Generic Routing Encapsulation) é um protocolo de tunelamento que encapsula pacotes IP dentro de outros pacotes IP. Ele não fornece criptografia ou autenticação por si só, e não é um mecanismo para atravessar NAT. O GRE não encapsula ESP em UDP, e não resolve o problema de NAT/PAT que afeta o IPSec. A alternativa confunde um protocolo de tunelamento genérico com o mecanismo específico de travessia de NAT.

Alternativa C — ❌ Incorreta

O IKEv2 Fragmentation é um recurso do IKEv2 (Internet Key Exchange version 2) que fragmenta pacotes IKE grandes para evitar problemas com MTU (Maximum Transmission Unit). Ele não é um mecanismo para atravessar NAT/PAT. O IKEv2 Fragmentation lida com o tamanho dos pacotes de negociação, não com a tradução de endereços. A alternativa confunde um recurso de fragmentação com um mecanismo de travessia de NAT.

Alternativa D — ✅ Correta ⟵ GABARITO

O NAT Traversal (NAT-T) é o mecanismo do IPSec que permite que pacotes ESP atravessem dispositivos NAT/PAT. Ele encapsula o pacote ESP em um datagrama UDP, normalmente na porta 4500, para que o NAT/PAT possa traduzir o endereço IP e a porta de origem sem quebrar a integridade do pacote ESP. O NAT-T é negociado durante o estabelecimento da SA pelo IKE, e ambos os lados devem suportá-lo. É exatamente o que o enunciado descreve: um mecanismo que encapsula ESP em um protocolo que suporte tradução de portas.

Alternativa E — ❌ Incorreta

O NAT Overload é outro nome para PAT (Port Address Translation), que é o próprio mecanismo de tradução de endereços e portas que causa o problema com o IPSec. O NAT Overload não é uma solução para o problema, mas sim a causa dele. A alternativa confunde o problema com a solução, trocando o mecanismo de travessia de NAT pelo próprio NAT.

Gabarito: letra D