Apenas o roteador no lado do servidor precisará de uma porta para frente. Vejamos de outro modo: quando o host destinado se tornará ambíguo? No lado do servidor, porque o cliente se conecta a um endereço IP externo, mas há vários hosts possíveis para os quais isso pode acontecer. Se não houver um mapeamento no roteador que diga, por exemplo, a porta TCP 80 deve ser encaminhada para o host x, o referido roteador não saberá o que fazer, porque há várias possibilidades e não pode simplesmente escolher uma aleatoriamente.
Porque uma imagem pode dizer mais que mil palavras:
