Czym jest CGNAT? Współdzielone IP i przekierowanie portów

Carrier-grade NAT (CGNAT) to translacja adresów IPv4 wykonywana w sieci dostawcy internetu. Pozwala wielu abonentom współdzielić jeden publiczny adres IPv4. Połączenia wychodzące zwykle działają normalnie, ale dostęp z zewnątrz do serwera w domu może być niemożliwy bez rozwiązania oferowanego przez dostawcę.

CGNAT a router domowy

Twój router domowy może już tłumaczyć adresy urządzeń, takie jak 192.168.1.20, na swój adres zewnętrzny. Przy CGNAT dostawca ponownie tłumaczy ten adres zewnętrzny na współdzielony publiczny adres IPv4. Między zdalnym serwerem a Twoim urządzeniem są więc dwie tablice translacji. Skonfigurować możesz tylko tę domową; reguła przekierowania portu w routerze nie utworzy odpowiedniej reguły w sprzęcie dostawcy. Ta dodatkowa warstwa może pozostać niezauważona podczas przeglądania stron, ale ma ogromne znaczenie, gdy ktoś próbuje połączyć się z Twoim domem.

Jak wykryć CGNAT

Odczytaj adres IPv4 interfejsu zewnętrznego routera na jego stronie stanu. Porównaj go z adresem, który pokazuje narzędzie 2IP „Informacje o adresie IP”. Jeśli się różnią, a różnicy nie tłumaczy VPN ani drugi router w domu, możliwe, że translację wykonuje dostawca. Dostawcy często korzystają z zakresu 100.64.0.0/10 – współdzielonej przestrzeni adresowej od 100.64.0.0 do 100.127.255.255. Określa ją RFC 6598 i jest ona odrębna od prywatnych bloków RFC 1918. Brak adresu z tego zakresu nie wyklucza CGNAT, bo operatorzy mogą stosować inny plan adresacji.

Dlaczego test portu może się nie udać

Lokalna kontrola może wykazać, że aplikacja nasłuchuje, a mimo to zewnętrzny test portu nie może się z nią połączyć. Przy CGNAT pakiet przychodzący trafia najpierw na współdzielony adres dostawcy, a dostawca potrzebuje mapowania, aby wiedzieć, do którego abonenta go skierować. Zanim obwinisz CGNAT, sprawdź samą usługę, jej port TCP lub UDP, domową zaporę i regułę w routerze. Podobne objawy mogą wywoływać VPN, proxy w chmurze i dodatkowe routery. Test portu to tylko jedna obserwacja, a nie pełny test działania aplikacji.

O co zapytać dostawcę internetu

Zapytaj, czy dostępny jest publiczny adres IPv4 i połączenia przychodzące oraz czy adres jest stały, czy dynamiczny. Jeśli obie strony obsługują IPv6, możesz udostępnić usługę przez IPv6 przy starannie ograniczonych regułach zapory. Niektóre aplikacje zamiast tego nawiązują wychodzące, chronione połączenie z serwerem pośredniczącym; to rodzi dodatkowe pytania o zaufanie i bezpieczeństwo. Nie wystawiaj całego urządzenia na zewnątrz tylko po to, by test portu zakończył się sukcesem. Sam CGNAT nie oznacza, że zwykły dostęp do internetu nie działa, i nie ukrywa tożsamości abonenta przed jego dostawcą.