Che cos'è il CGNAT? IP condivisi e port forwarding

Il carrier-grade NAT (CGNAT) è una traduzione degli indirizzi IPv4 eseguita all'interno della rete del provider Internet. Permette a più abbonati di condividere un unico indirizzo IPv4 pubblico. Le connessioni in uscita spesso funzionano normalmente, ma senza un accordo supportato dal provider può essere impossibile raggiungere dall'esterno un server ospitato in casa.

Il CGNAT e il router di casa

Il router di casa può già tradurre gli indirizzi dei dispositivi, come 192.168.1.20, nel proprio indirizzo esterno. Con il CGNAT il provider traduce a sua volta quell'indirizzo esterno in un indirizzo IPv4 pubblico condiviso. Tra un server remoto e il tuo dispositivo ci sono quindi due tabelle di traduzione. Tu puoi configurare solo quella di casa: una regola di port forwarding sul tuo router non può creare una regola corrispondente negli apparati del provider. Durante la navigazione questo livello aggiuntivo può passare inosservato, ma diventa decisivo quando qualcuno prova a connettersi alla tua rete domestica.

Come accorgersene

Trova l'indirizzo IPv4 dell'interfaccia esterna del router nella sua pagina di stato e confrontalo con quello mostrato dallo strumento Ricerca indirizzo IP di 2IP. Se sono diversi e la differenza non è spiegata da una VPN o da un secondo router domestico, è possibile che il provider applichi una traduzione. I provider usano spesso 100.64.0.0/10, uno spazio di indirizzi condiviso che va da 100.64.0.0 a 100.127.255.255. È definito nella RFC 6598 ed è distinto dai blocchi privati della RFC 1918. Se l'indirizzo non rientra in quell'intervallo, il CGNAT non è comunque escluso, perché gli operatori possono usare un altro piano di indirizzamento.

Perché il controllo di una porta può fallire

Un controllo locale può confermare che l'applicazione è in ascolto, mentre una verifica delle porte dall'esterno non riesce a raggiungerla. Con il CGNAT un pacchetto in entrata arriva prima all'indirizzo condiviso del provider, e il provider ha bisogno di un'associazione per sapere a quale abbonato consegnarlo. Prima di dare la colpa al CGNAT, controlla il servizio reale, la sua porta TCP o UDP, il firewall di casa e la regola sul router. Anche VPN, proxy cloud e router aggiuntivi possono causare sintomi simili. Il controllo di una porta è una singola osservazione, non una verifica completa del funzionamento dell'applicazione.

Le opzioni da discutere con il tuo ISP

Chiedi se sono disponibili un indirizzo IPv4 pubblico e le connessioni in entrata, e se l'indirizzo sarebbe fisso o dinamico. Se entrambe le estremità supportano IPv6, puoi pubblicare il servizio su IPv6 con regole del firewall attentamente limitate. Alcune applicazioni, invece, aprono una connessione protetta in uscita verso un relay; questo comporta però ulteriori valutazioni di fiducia e di sicurezza. Non esporre un intero dispositivo solo per far riuscire il test di una porta. Il CGNAT di per sé non significa che il normale accesso a Internet sia compromesso e non nasconde l'identità dell'abbonato al proprio provider.