Я чтобы побыстрее )

Из картинки уже понимаем, что маршрутизатор имеет два интерфейса.

Чувак придет по конкретному адресу и порту? Так жеж? А к этому порту в таблице нат есть пара адрес порт устройства

Всё

Хороший вопрос

Чувак значит должен как то генерить порты

Там типа вначале самые популярные 22 80

Если какой-то ответил то всё пошло

А если у меня сервер апача то м у меня есть 80

Как это нет? Sudo apt install lamp

))) не я чисто гипотетически

Чувак конечно же не может в сеть к тебе попасть, по этому он попадает на интерфейс маршрутизатора со стороны интернетов, на маршрутизаторе настроен NAT. Таким образом на маршрутизаторе открывается порт, который ведёт к тебе на интерфейс, на твой порт (он может иметь другою число).
Маршрутизатор выполняет трансляцию пакета, а именно заменяет назначение IP в пакете твоим адресом. Ты увидишь, что к тебе пришёл пакет от чувака и отвечать ты будешь чуваку. Когда ты будешь отвечать чуваку, маршрутизатор изменит источник IP пакета в заменив его своим IP. Таким образом чувак увидит, что ему ответил тот адрес на который он посылал пакет (IP маршрутизатора со стороны интернетов).
Это одна схема.

Ну я тоже самое хотел сказать

Неважно, можно и не Web сервер.

Ага не важно. Может у меня mqtt брокер.

Из сети?

Чувак из интернетов. Кто он, лома или агент ФБР? ))

Мр. Робот