Nat (Network Adress Translation) ist keine Firewall in dem Sinne, dass Ports und Datenpakete überwacht werden.
Was einen PC hinter einem NAT-Router sicher macht ist, dass potentiell offene Ports auf der lokalen Seite bleiben und etwaige Angriffe aus dem externen Netz erstmal nur den Router betreffen, da der lokale Rechner durch NAT maskiert ist (Masquerading).
NAT heisst: Alles darf raus, alles was von aussen angefordert wird, kommt auch rein.
Firewalling fängt dagegen mit Nachdenken an:
Was darf denn effektiv raus?
Was muss aus dem lokalen Netz auf das externe Netz zugreifen können?
Dabei stehen sowohl Paketfilter-Firewalls wie auch Contentfilter-Firewalls zur Verfügung.