- El CGNAT es una tecnología que comparte una misma dirección IP pública entre varios usuarios para paliar la falta de direcciones IPv4.
- Provoca problemas críticos como la imposibilidad de abrir puertos, NAT estricta en consolas y fallos en el acceso remoto a servidores domésticos.
- La solución principal es solicitar una IP pública directa al operador, aunque existen alternativas técnicas como túneles o VPNs.
Quieres montar un servidor de juegos, acceder a tus cámaras desde fuera de casa o conectarte de forma remota a tu NAS, pero ninguna regla de apertura de puertos funciona. Puede que el router no tenga ningún problema y que la causa sea el CGNAT utilizado por tu operador.
Esta tecnología suele pasar desapercibida al navegar, utilizar redes sociales o ver contenido en streaming. Las limitaciones aparecen cuando necesitas recibir conexiones iniciadas desde internet, ya que tu línea no dispone de una dirección IPv4 pública exclusiva.
Qué es el CGNAT y por qué se utiliza
IPv4 ofrece aproximadamente 4.300 millones de direcciones, una cantidad insuficiente para todos los dispositivos conectados. Los registros regionales agotaron hace años sus principales reservas de direcciones nuevas, por lo que los operadores recurren a distintas técnicas para aprovechar las existentes.
El Carrier-Grade NAT o CGNAT permite que varios clientes compartan una misma dirección IPv4 pública. En lugar de asignar una IP pública directamente a cada router, el operador introduce una segunda capa de traducción de direcciones dentro de su propia red.
El funcionamiento se parece al NAT que ya realiza el router de casa, pero a mayor escala. Los dispositivos domésticos comparten la dirección del router y, con CGNAT, varios routers comparten además la dirección pública del operador. El tráfico saliente funciona con normalidad, pero las conexiones entrantes no solicitadas no saben a qué cliente deben dirigirse.
Qué problemas puede provocar compartir una IP
El principal inconveniente es que abrir un puerto en el router no resulta suficiente. La conexión queda detenida en la infraestructura del operador antes de alcanzar tu red, por lo que no puedes publicar directamente un servidor web, una VPN personal o determinados servicios autoalojados mediante IPv4.
Un NAS, Plex o un sistema domótico seguirán funcionando dentro de la red local. Lo que puede fallar es el acceso directo desde el exterior, salvo que la aplicación utilice sus propios servidores intermediarios o algún sistema de conexión indirecta.
En videojuegos y aplicaciones P2P, el CGNAT puede provocar una NAT restrictiva y dificultar que actúes como anfitrión. Esto puede afectar al emparejamiento o al chat de voz, aunque depende del juego y de los mecanismos de intermediación que utilice.
Las VPN comerciales que instalas para navegar suelen funcionar porque la conexión se inicia desde casa. El problema aparece cuando quieres alojar tu propio servidor VPN y conectarte a él desde el exterior.
Cómo saber si estás detrás de CGNAT
El método más útil consiste en comparar la dirección IPv4 WAN del router con la dirección IPv4 visible en internet. Entra en el panel del router, cuya dirección suele ser 192.168.1.1 o 192.168.0.1, y busca la información de la conexión WAN.
Después, utiliza un servicio como cualesmiip.com para consultar la IP pública de tu conexión. Asegúrate de comparar las direcciones IPv4, ya que algunas páginas pueden mostrar primero una dirección IPv6.
Si la IPv4 WAN del router es pública y coincide con la mostrada por la web, normalmente no estás bajo CGNAT. Si son diferentes, existe alguna capa adicional de NAT, aunque también podría tratarse de un segundo router instalado en casa.
La pista más clara es que la dirección WAN se encuentre entre 100.64.0.0 y 100.127.255.255. Este bloque, denominado 100.64.0.0/10, está reservado para redes compartidas de operadores. En caso de duda, la confirmación definitiva debe proporcionarla tu compañía.
Cómo solicitar la salida del CGNAT
La solución más directa es contactar con atención al cliente y pedir expresamente salir del CGNAT y recibir una dirección IPv4 pública dinámica. No es necesario contratar una IP fija: una dirección pública dinámica permite abrir puertos, aunque puede cambiar con el tiempo.
Las condiciones dependen de cada operador y pueden modificarse:
- DIGI: ofrece oficialmente Conexión Plus, una IPv4 de uso exclusivo por 1 euro al mes. Puede activarse desde Mi DIGI o mediante atención al cliente.
- MásMóvil: indica en su página de ayuda que los usuarios que necesiten una IP pública deben contactar con atención al cliente, pero no garantiza públicamente un plazo concreto.
- Vodafone: afirma que la mayoría de sus conexiones de fibra reciben una IPv4 pública dinámica. Aun así, conviene comprobar cada línea porque la configuración puede depender del tipo de acceso.
No es recomendable fiarse de listas antiguas para otros operadores, ya que las políticas pueden variar según la tarifa, la cobertura y la red utilizada. Lo mejor es comprobar primero la WAN del router y consultar las condiciones actuales.
Cuando el operador confirme el cambio, reinicia el router para renovar la conexión. Después, vuelve a comparar las dos direcciones IPv4 antes de configurar el reenvío de puertos.
Alternativas si no puedes salir del CGNAT
Una posibilidad es utilizar Tailscale o ZeroTier. Estas herramientas crean una red privada entre tus dispositivos y permiten acceder a un NAS, un servidor doméstico o un ordenador sin publicar puertos directamente en internet.
Para exponer una web o una API puedes recurrir a Cloudflare Tunnel o ngrok. Sus conectores inician una conexión saliente hacia el proveedor del túnel, por lo que funcionan aunque la línea esté detrás de CGNAT. Dependiendo del servicio y de sus funciones, algunos usos pueden exigir un plan de pago.
Otra alternativa es contratar una VPN que ofrezca reenvío de puertos o una dirección dedicada. No todas las VPN incluyen ambas funciones, así que debes comprobar las condiciones antes de pagar.
En cualquiera de estos casos, protege el acceso mediante autenticación, cifrado y actualizaciones. Salir del CGNAT o crear un túnel no hace que un servicio sea seguro automáticamente.
¿IPv6 acabará con el CGNAT?
IPv6 utiliza direcciones de 128 bits y dispone de alrededor de 3,4 × 1038 combinaciones. Esto permite asignar direcciones globales sin compartir una única IPv4 entre numerosos clientes.
Sin embargo, disponer de IPv6 no garantiza por sí solo el acceso remoto. El servicio, el dispositivo desde el que te conectas y ambas redes deben ser compatibles, y el cortafuegos del router debe permitir la conexión. IPv6 tampoco es inherentemente más seguro que IPv4: sigue necesitando una configuración adecuada.
En definitiva, para salir del CGNAT debes confirmar primero que tu router no recibe una IPv4 pública y consultar las opciones del operador. Si no puede asignarte una, las redes privadas superpuestas y los túneles ofrecen una alternativa práctica para recuperar el acceso remoto sin abrir puertos.
Soy un apasionado de la tecnología que ha convertido sus intereses «frikis» en profesión. Llevo más de 10 años de mi vida utilizando tecnología de vanguardia y trasteando todo tipo de programas por pura curiosidad. Ahora me he especializado en tecnología de ordenador y videojuegos. Esto es por que desde hace más de 5 años que trabajo redactando para varias webs en materia de tecnología y videojuegos, creando artículos que buscan darte la información que necesitas con un lenguaje entendible por todos.
Si tienes cualquier pregunta, mis conocimientos van desde todo lo relacionado con el sistema operativo Windows así como Android para móviles. Y es que mi compromiso es contigo, siempre estoy dispuesto a dedicarte unos minutos y ayudarte a resolver cualquier duda que tengas en este mundo de internet.