Le routeur NAT reçois les paquets entrants, en l'abscence de règles NAT adéquate il ne sait pas quoi en faire et le laisse tout simplement tomber.
Tout routeur NAT protège le réseau d'éventuelle requêtes externes, seules les requête initiées depuis l'intérieur du réseau (et donc création d'un règle NAT dynamique) peuvent aboutir.
Un firewall est utile uniquement si l'on souahite restreindre les services accessible depuis l'intérieur du réseau, avoir des logs, ...