giuse56 Ma in ipv6 il nat non c'è, quindi serve il firewall.
[cancellato] Diventa ovviamente necessario in IPv6.
giuse56 Il nat di fatto però non protegge i dispositivi, almeno così mi era stato spiegato tempo fa'
Su questo c'è chi fa confusione per motivi di "purismo religioso". Ad essere pragmatici, il NAT "di fatto" come effetto secondario fa da "firewall dei poveri", perché non può accettare connessioni dall'esterno non sapendo dove inoltrarle. Detto ciò, è appunto un effetto di sicurezza secondario e non "by design". Senza questo effetto secondario, non facile da bypassare per gli utenti poco pratici, e data la scarsa qualità del software di molti router consumer, la situazione in passato sarebbe stata molto peggio. Ma non essendo progettato come sistema di sicurezza per sé può essere soggetto a specifici attacchi - tra l'altro soluzioni poi nate per ovviare ai limiti di NAT come ALG e UPnP aprono anche loro vettori di attacco.
Per questo motivo nonostante il NAT è meglio avere attivo un firewall anche in IPv4. È il principio della defense-in-depth, cioè "difesa in profondità", non ci si affida ad un singolo bastione sperando che sia invalicabile, ci si affida ad una serie di protezioni e l'attaccante deve superarle tutte per avere successo - e un firewall è progettato ad hoc per fare sicurezza. Poi ci si possono anche aggiungere IDS, IPS, WAF e chi più ne ha più ne metta se necessario - comunque questo è un classico caso dove la protezione totale che si può raggiungere è più della somma delle singole parti.
