Pessoal, acredito que a questão esteja errada mesmo.
Pensei da seguinte forma: sabemos que os endereços privados utilizado em redes locais são divididos em classes, essencialmente A,B e C.
Desse modo, é comum que em redes locais DISTINTAS o mesmo endereço IP esteja em uso. Imagine o seguinte: estou utilizando o IP 192.168.1.15 agora para acessar a rede e você, concurseiro, está aí na sua casa usando o mesmo endereço na sua rede.
Agora, já pensou se não houvesse o serviço de tradução dos IPs privados para públicos, que confusão seria? Todo mundo fazendo requisição nos servidores do QC com endereço IP igual.
Endereços de acesso à internet devem ser exclusivos.
Não sou especialista, mas acho que essa é a ideia.
Qualquer erro, me avisem por favor.
Achei essa questão tensa:
O firewall em si não faz NAT, o NAT é feito em cima do firewall, até porque o firewall vai precisar liberar as requisições entre os IPs, ou seja, não é o firewall que vai mascarar o IP, e sim o NAT.
Gabarito da questão realmente é errado, do contrário, se o firewall bloqueasse o IP que o NAT responde, não haveria conexões.