ベストはspiをオンにして、ファイアウォールとnatを設定することによって、
内部のサーバにパケットを到達させることですが、

spiを無効にして、natだけ書く場合とどのような安全面で違いはありますか？
spiが無効であれば、公開サーバはあまり関係が無く、古くなり脆弱性が発見されたルータに対しての攻撃がデフォルトで受けてしまうぐらいでしょうか。