CGNAT: por qué no puedes abrir puertos con tu operador

Has abierto un puerto en el router para jugar, usar un servidor o acceder a tus cámaras desde fuera, y sigue sin funcionar. Si ya has descartado el cortafuegos y la configuración, es posible que tu operador use CGNAT.

Qué es el CGNAT

Las direcciones IPv4 públicas escasean. Para no quedarse sin ellas, algunos operadores aplican una segunda capa de traducción de direcciones (Carrier-Grade NAT): en lugar de darte una IP pública para ti solo, comparten una misma IP pública entre muchos clientes.

Tu router sigue teniendo su NAT, con tu red privada detrás (cómo funcionan las IP y los puertos), pero entre el router y internet hay otro NAT que no controlas. Las conexiones que tú inicias, como navegar o ver vídeos, funcionan sin problemas. Lo que falla son las conexiones que llegan desde fuera, porque el operador no sabe a cuál de sus clientes entregarlas.

Cómo saber si lo tienes

1. Entra en la configuración de tu router y mira la IP de WAN (la que recibe del operador).
2. Busca en internet «cuál es mi IP» y compara.

Si son distintas, tienes un NAT por encima. Una pista clara: la IP de WAN del router empieza por 100.64. hasta 100.127., un rango reservado precisamente para el CGNAT (RFC 6598). Si es una IP privada de otro rango (10.x, 172.16-31.x, 192.168.x), también hay un NAT delante.

Qué problemas causa

• No funcionan los puertos abiertos para servidores de juegos, acceso remoto, cámaras o un NAS.
• Algunos juegos muestran «NAT estricto» y cuesta más encontrar partidas.
• Alojar un servicio doméstico desde fuera no es posible directamente.

Soluciones

• Pedir una IP pública a tu operador. Muchos la ofrecen como extra gratuito o de pago, o la quitan del CGNAT si se pide. Comprueba las condiciones: a veces el cambio es solo cuestión de pedirlo.
• Usar IPv6, si tu operador lo da: no necesita NAT y cada dispositivo puede tener una dirección pública (qué es IPv6). Debes configurar el cortafuegos del router para permitir lo que quieras exponer.
• Usar una VPN o un túnel de un servicio que permita acceder a tus dispositivos sin abrir puertos. Hay opciones que crean una red privada entre tus equipos aunque estén detrás de CGNAT.
• Para jugar, un servicio de VPN de pago con reenvío de puertos puede ayudar, pero no es un derecho garantizado y tiene coste.

Importante

Abrir puertos expone tus equipos a internet: asegúrate de que el servicio que publicas esté actualizado y protegido con contraseña fuerte. Si no lo necesitas, cuantos menos puertos abiertos, mejor.