Cambia la IP destino de un paquete que entra: de la pública del gateway a la privada del servidor.
Cambia la IP origen al salir (o al reenviar) para que la respuesta vuelva por el mismo camino.
La tabla de conexiones del kernel. Recuerda cada traducción para deshacerla en la respuesta; si solo ve un sentido, descarta como INVALID.
La petición entra por un gateway y la respuesta sale por otro. Con NAT con estado, la conexión se rompe.
Un cliente de la red interna accede a un servicio interno usando su IP pública. El paquete «da la vuelta» en el mismo equipo.
Marca un paquete o conexión y la usa en una regla de enrutado (ip rule) para elegir una tabla de rutas distinta.