¿Qué es CGNAT? IP compartidas y redirección de puertos
El CGNAT (Carrier-Grade NAT, NAT a escala de operador) es una traducción de direcciones IPv4 que se realiza dentro de la red del proveedor de Internet. Permite que varios abonados compartan una misma dirección IPv4 pública. Las conexiones salientes suelen funcionar con normalidad, pero puede que no sea posible acceder desde fuera a un servidor que tenga en casa sin una solución que ofrezca el propio proveedor.
CGNAT frente a su router doméstico
Es posible que su router doméstico ya traduzca las direcciones de dispositivos como 192.168.1.20 a su dirección externa. Con CGNAT, el proveedor vuelve a traducir esa dirección externa a una IPv4 pública compartida. Entre un servidor remoto y su dispositivo hay entonces dos tablas de traducción. Usted solo puede configurar la de su casa: una regla de redirección de puertos en su router no puede crear la regla equivalente en los equipos del proveedor. Esta capa adicional puede pasar desapercibida mientras navega, pero resulta decisiva cuando alguien intenta conectarse a su red doméstica.
Cómo detectarlo
Busque en la página de estado del router la dirección IPv4 de su interfaz externa. Compárela con la que muestra la consulta de direcciones IP de 2IP. Si no coinciden y la diferencia no se explica por una VPN o por un segundo router doméstico, es posible que el proveedor esté haciendo traducción de direcciones. Los proveedores suelen utilizar 100.64.0.0/10, un espacio de direcciones compartido que va de 100.64.0.0 a 100.127.255.255. Está definido en el RFC 6598 y es distinto de los bloques privados del RFC 1918. Que no aparezca ese rango concreto no descarta el CGNAT, porque los operadores pueden usar otro plan de direccionamiento.
Por qué puede fallar una prueba de puertos
Una comprobación local puede confirmar que su aplicación está escuchando y, aun así, una prueba de puertos desde el exterior no consigue llegar a ella. Con CGNAT, el paquete entrante llega primero a la dirección compartida del proveedor, y este necesita una correspondencia para saber a qué abonado debe entregarlo. Antes de culpar al CGNAT, verifique el servicio real, su puerto TCP o UDP, el cortafuegos de su casa y la regla del router. Las VPN, los proxies en la nube y los routers adicionales pueden provocar síntomas parecidos. Una prueba de puertos es solo una observación, no una comprobación completa del estado de la aplicación.
Qué opciones plantear a su ISP
Pregunte si puede disponer de una dirección IPv4 pública y de conexiones entrantes, y si esa dirección sería fija o dinámica. Si ambos extremos admiten IPv6, puede publicar el servicio por IPv6 con reglas de cortafuegos bien acotadas. Algunas aplicaciones, en cambio, abren una conexión saliente protegida hacia un servidor intermedio (relay), lo que plantea sus propias cuestiones de confianza y seguridad. No exponga un dispositivo entero solo para que la prueba de puertos salga bien. El CGNAT no significa por sí solo que su acceso normal a Internet esté averiado, ni oculta la identidad del abonado ante su proveedor.