CGNAT: Qué es, cómo afecta a tu conexión y cómo solucionarlo

CGNAT es una tecnología utilizada por los proveedores de internet para que varios usuarios compartan una sola dirección IPv4 pública. En la navegación web, streaming o uso de aplicaciones, el usuario normalmente no percibe diferencia alguna. Los problemas surgen cuando se necesita aceptar conexiones entrantes desde internet: abrir puertos, montar un servidor en casa, conectarse directamente a un NAS o alojar un servidor de juegos.

¿Qué es CGNAT y por qué lo usan los proveedores?

CGNAT significa Carrier Grade NAT, una versión a gran escala de la traducción de direcciones de red (NAT). Funciona de forma similar al NAT doméstico, pero a nivel de operador, gestionando miles de clientes en vez de solo varios dispositivos en casa.

En una red doméstica típica, dispositivos como ordenadores, smartphones o consolas reciben direcciones IP locales como 192.168.1.x. El router las agrupa y las envía a internet usando una sola IP pública. Desde fuera, todos los dispositivos parecen uno solo.

Diferencias entre Carrier Grade NAT y NAT convencional

Con NAT normal, la IP pública está directamente asociada al router del usuario, que gestiona el tráfico entrante y saliente. En CGNAT, el router recibe una IP interna del operador, y es el equipo del proveedor el que traduce el tráfico y lo saca a internet con una IP pública compartida entre muchos usuarios.

Esto crea una doble capa de NAT: primero en el router doméstico y después en el equipo del proveedor. El usuario controla solo la primera, no la segunda.

Por eso, CGNAT apenas se nota en conexiones salientes (abrir webs, apps), ya que el proveedor recuerda la solicitud y sabe devolver la respuesta. Pero para conexiones entrantes, como abrir un puerto o un servidor en casa, el operador no sabe a qué cliente dirigir el tráfico, y el usuario no puede crear reglas en el CGNAT.

¿Por qué los proveedores implementan CGNAT?

El motivo principal es la escasez de direcciones IPv4: solo hay unos 4.300 millones posibles y muchas ya están asignadas. Con el crecimiento de dispositivos conectados, suministrar una IP pública a cada cliente es caro o inviable. CGNAT permite compartir una sola IP pública entre muchos usuarios, diferenciando las conexiones por puertos TCP y UDP.

Para la mayoría de usuarios, no hay cambios perceptibles, salvo cuando necesitan conexiones entrantes. La solución a largo plazo es IPv6, pero como IPv4 sigue siendo muy común, CGNAT es clave en la infraestructura de muchos operadores.

¿Cómo funciona CGNAT y qué pasa con tu conexión?

Sin CGNAT, la ruta es sencilla:

• Dispositivo → Router doméstico → Internet

El router tiene una IP pública y gestiona las respuestas. Con CGNAT, se añade un paso:

• Dispositivo → Router doméstico → Red del proveedor → CGNAT → Internet

El router recibe una IP interna (por ejemplo, 100.70.15.24) y el tráfico se traduce de nuevo en el CGNAT antes de salir a internet con una IP pública compartida. El equipo del operador mantiene una tabla para dirigir las respuestas al usuario correcto. Sin embargo, cuando alguien intenta conectarse desde fuera, si no existe una entrada previa, el CGNAT no sabe a quién dirigir el paquete entrante.

IP "gris" y "blanca" en CGNAT

Una IP pública (o "blanca") es accesible desde internet y permite gestionar conexiones entrantes. Una IP "gris" solo funciona dentro de la red del operador y no es enrutable globalmente. Para CGNAT se reserva el rango 100.64.0.0 - 100.127.255.255. Si tu router recibe una IP en ese rango, no podrás acceder directamente desde fuera.

También se usan rangos privados habituales (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Si el WAN del router está en uno de estos, probablemente hay NAT adicional por encima.

Un síntoma común es que la IP WAN del router no coincide con la IP pública que muestran servicios online. En ese caso, la IP pública está más allá, en la red del proveedor.

Para entender mejor la tecnología, puedes consultar el artículo NAT explicado sencillo: por qué los juegos online y P2P pueden fallar.

¿Por qué CGNAT impide abrir puertos, jugar online o montar servidores en casa?

El principal problema de CGNAT es con las conexiones entrantes. Mientras el usuario inicia la conexión, el proveedor puede devolver la respuesta. Pero si alguien desde fuera intenta acceder a un dispositivo del usuario, el CGNAT no sabe a quién dirigir el tráfico.

¿Por qué no funciona el port forwarding?

Con una IP pública, el usuario puede abrir un puerto en el router (por ejemplo, el 25565 para un servidor de Minecraft) y redirigir el tráfico. Con CGNAT, el puerto abierto solo funciona dentro de la red del usuario: el paquete nunca llega al router porque se queda en el equipo del proveedor, que no puede redirigirlo a un usuario concreto.

Por eso, los test de puertos suelen indicar que el puerto está cerrado, aunque el cortafuegos y la configuración sean correctos.

Problemas de CGNAT en juegos online y P2P

Muchos juegos modernos usan servidores centrales y no se ven afectados. Sin embargo, los que dependen de conexiones directas entre jugadores (P2P, juegos antiguos, chat de voz) pueden mostrar mensajes como Strict NAT o NAT Type 3: significa que tu dispositivo es poco accesible desde fuera.

Algunos servicios emplean técnicas de travesía NAT o servidores intermedios para permitir la conexión, pero si ambos usuarios están tras CGNAT estricto, el P2P directo puede ser imposible, lo que aumenta la latencia o limita funciones.

¿Por qué CGNAT limita los servidores domésticos?

Las restricciones más notorias aparecen al querer alojar servicios en casa: servidores de Minecraft, webs, NAS, cámaras, FTP o escritorio remoto. Aunque la redirección de puertos esté bien configurada, el CGNAT del proveedor detiene la conexión antes de llegar al router doméstico.

Esto se nota especialmente al usar un NAS en casa. Puedes aprender más en el artículo NAS doméstico: la mejor alternativa a la nube.

CGNAT no hace imposible tener servidores en casa, pero impide el acceso directo a través de IPv4 público y port forwarding. Las alternativas son pedir una IP pública, usar IPv6 o crear un túnel vía un servidor externo.

¿Cómo saber si estás bajo CGNAT?

No se necesitan herramientas especiales. Basta comparar la IP WAN del router con la IP pública que ves en internet:

• Accede a la configuración del router y localiza la IP WAN o dirección IPv4.
• Consulta un servicio online para ver tu IP pública.

Si ambas coinciden, probablemente no hay CGNAT. Si difieren, el tráfico pasa por una capa extra de traducción, señal de que estás tras CGNAT.

Si la IP WAN está en los rangos 100.64.0.0/10, 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16, es casi seguro que hay NAT adicional. La prueba es más fiable si también abres un puerto en el router y sigue inaccesible desde fuera.

Otra opción es consultar al soporte del proveedor si tu conexión tiene IP pública o usa CGNAT. Esto es útil si emplean esquemas poco convencionales.

Revisa esto sobre todo si el port forwarding no funciona, no puedes acceder a un servidor en casa o los juegos siempre muestran NAT estricto.

¿Cómo saltarse CGNAT y acceder a tu red doméstica?

No es posible desactivar CGNAT desde el router, porque la traducción ocurre en el equipo del proveedor. Si necesitas acceso externo, hay varias opciones:

Pedir una IP pública al proveedor

La solución más directa es solicitar a tu operador una IP pública. El servicio puede llamarse IP blanca, IP externa, IPv4 pública o IP estática. Así, el CGNAT suele dejar de aplicarse y la IP WAN del router será accesible desde internet, permitiendo de nuevo el port forwarding.

Una IP estática es preferible si necesitas que el servidor doméstico esté siempre disponible bajo la misma IP. Si es dinámica, puedes usar DDNS para asociar un dominio a tu IP actual.

Antes de contratar, confirma que sea realmente una IP pública; "dirección estática" no siempre lo garantiza.

IPv6

Otra opción es usar IPv6. Este protocolo tiene un espacio de direcciones enorme, eliminando la necesidad de CGNAT. Si tu proveedor da IPv6 real, tu dispositivo doméstico tendrá una IP global, permitiendo conexiones entrantes sin port forwarding tradicional.

Ojo: abrir acceso directo no siempre es seguro. El router suele llevar cortafuegos activo y deberás crear reglas para el servidor. Además, el cliente que se conecta también debe soportar IPv6, así que no siempre es un sustituto completo del IPv4 público.

Puedes saber más sobre IPv4 e IPv6 y por qué migrar en el artículo IPv4 vs IPv6: diferencias y mitos para el usuario común.

Túneles y servidores intermedios

Si no es posible obtener IP pública, puedes crear una conexión saliente desde tu red doméstica a un servidor (por ejemplo, un VPS con IP pública). El servidor externo recibe las conexiones y las reenvía a través de un túnel seguro a tu red de casa.

Servicios como reverse tunnel o soluciones de acceso remoto funcionan así: el canal se abre desde dentro, evitando el bloqueo del CGNAT.

Este método es útil para NAS, servidores de juegos, domótica y acceso remoto. El CGNAT sigue ahí, pero el tráfico usa una ruta alternativa.

En resumen: si tu proveedor ofrece IP pública asequible, es la mejor solución. Si tienes IPv6, úsalo para servicios modernos. Si ninguna opción es viable, recurre a túneles con un servidor externo.

Conclusión

CGNAT permite a los operadores ahorrar direcciones IPv4 al compartir una IP entre varios usuarios. Para navegación, streaming y la mayoría de aplicaciones, no notarás diferencias: las conexiones se inician siempre desde tu red y el proveedor devuelve la respuesta al usuario correcto.

Las limitaciones aparecen cuando necesitas aceptar conexiones entrantes. El port forwarding deja de funcionar y algunos servicios P2P, juegos y servidores domésticos no pueden recibir conexiones directas desde internet.

Si quieres montar un NAS, servidor de juegos u otro servicio en casa, primero verifica la IP WAN de tu router y compárala con la IP pública. Si confirmas que estás tras CGNAT, la solución más directa es solicitar una IP pública a tu proveedor. También puedes recurrir a IPv6 o túneles a través de servidores externos si las opciones anteriores no están disponibles.

CGNAT no es un fallo de internet, sino un compromiso para optimizar direcciones IPv4, aunque limita el acceso entrante para los usuarios que lo necesitan.