Siempre sera mas seguro que las IP no sean alcancables desde internet, a que lo sean. Lo mismo que siempre sera mas seguro que ni siquiera exista esa conexion. Por tanto si unimos FW+DMZ+NAT IPv4 obtenemos una infraestructura mas segura que FW+DMZ IPv6
No siempre, puede que esas direcciones no sean alcanzables desde internet, pero sí podrían serlo desde tu proveedor, tu gateway directo, el último eslabón de la cadena antes de tu router podría ponerse a enviarte paquetes con IPs privadas de tu LAN y si tus políticas de firewall no preven esto, ya la tenemos montada.
Si las reglas de tu firewall son correctas entonces no ocurrirá, pero entonces tampoco ocurrirá con IPv6 sin NAT, aunque las direcciones de la LAN sean públicas no serán accesibles.
Resumiendo: la seguridad la provee el firewall, no el enrutado NAT.
Re:Que no cunda el panico
(Puntos:2)( http://presi.org/ )
No siempre, puede que esas direcciones no sean alcanzables desde internet, pero sí podrían serlo desde tu proveedor, tu gateway directo, el último eslabón de la cadena antes de tu router podría ponerse a enviarte paquetes con IPs privadas de tu LAN y si tus políticas de firewall no preven esto, ya la tenemos montada.
Si las reglas de tu firewall son correctas entonces no ocurrirá, pero entonces tampoco ocurrirá con IPv6 sin NAT, aunque las direcciones de la LAN sean públicas no serán accesibles.
Resumiendo: la seguridad la provee el firewall, no el enrutado NAT.