Qué es CGNAT y cómo saber si mi internet lo usa

Abriste el puerto en el router, revisaste el firewall, reiniciaste todo y aun así nadie desde afuera puede acceder a tu cámara, a tu servidor de juegos o a tu acceso remoto. Antes de perder otra tarde, vale hacerse una pregunta: ¿tu proveedor usa CGNAT? Si lo usa, el problema no está en tu router y ninguna configuración dentro de casa lo va a resolver.

Qué es CGNAT

CGNAT significa Carrier-Grade NAT, o NAT a nivel de operador. Para entenderlo, recuerda cómo funciona tu red de casa: el router recibe una dirección IP del proveedor y la comparte con todos los dispositivos del hogar, que usan IP internas como 192.168.0.10. Ese es el NAT común.

Con CGNAT, el proveedor hace lo mismo, pero un nivel más arriba. En lugar de entregarle una IP pública a tu router, le entrega una IP interna de su propia red, y cientos o miles de clientes salen a internet compartiendo un pequeño grupo de IP públicas. Sigues navegando con normalidad, pero ya no tienes una dirección propia en internet.

Por qué los proveedores lo usan

Las direcciones IPv4 se agotaron. Existen unos 4.300 millones y la demanda es mucho mayor. Comprar bloques nuevos se volvió caro, así que muchos proveedores, sobre todo los que crecieron rápido, ponen a sus clientes residenciales detrás de CGNAT para ahorrar direcciones. La salida a largo plazo es IPv6, que tiene direcciones de sobra (mira la diferencia entre IPv4 e IPv6).

Qué complica el CGNAT

Para navegar, ver videos y usar redes sociales casi nada cambia. Los problemas aparecen cuando alguien desde afuera necesita iniciar una conexión contigo:

• Abrir puertos no funciona. La redirección de puertos de tu router solo llega hasta la red del proveedor. La conexión que viene de internet se detiene en el equipo de CGNAT, que no sabe a qué cliente enviarla.
• Cámaras y DVR que dependen del acceso directo por IP dejan de funcionar desde afuera.
• Servidores en casa (Minecraft, sitio web, Plex, VPN propia) quedan inaccesibles desde internet.
• Juegos en línea pueden mostrar NAT estricto o moderado y tener problemas para armar partidas o chats de voz.
• Bloqueos compartidos: como mucha gente usa la misma IP pública, si otro usuario de esa IP abusa de un servicio, tú puedes recibir captchas o bloqueos.

Cómo saber si estás detrás de CGNAT

La prueba consiste en comparar dos números: la IP que tu router recibió del proveedor y la IP con la que apareces en internet.

1. Mira la IP pública

Abre la herramienta Mi IP y anota la dirección IPv4 que aparece. Es la IP con la que los sitios te ven.

2. Mira la IP WAN del router

Entra al panel del router (normalmente 192.168.0.1 o 192.168.1.1 en el navegador) y busca la página de estado de internet, a veces llamada WAN, Internet o Conexión. Anota la dirección IPv4 que aparece ahí.

3. Compara

• Las dos son iguales: tienes IP pública en el router. No hay CGNAT y abrir puertos debería funcionar.
• La IP WAN está entre 100.64 y 100.127: es CGNAT. Ese rango, 100.64.0.0/10, se reservó justamente para esto.
• La IP WAN es 10.x, 172.16 a 172.31 o 192.168.x: es una dirección privada. Puede ser CGNAT del proveedor u otro router tuyo delante (por ejemplo, el módem del proveedor en modo router). En ese segundo caso es un NAT doble dentro de casa, que tú mismo puedes resolver poniendo el módem en modo bridge.

Pista extra con traceroute

En la computadora, ejecuta tracert 8.8.8.8 (Windows) o traceroute 8.8.8.8 (Linux y macOS). Si uno de los primeros saltos después de tu router tiene una dirección entre 100.64.x.x y 100.127.x.x, es una señal fuerte de CGNAT. Si tienes dudas sobre cómo interpretar la salida, mira cómo leer un traceroute.

Qué hacer si estás detrás de CGNAT

Pide una IP pública a tu proveedor

Es la solución más directa. Llama o abre un ticket y pide una "IPv4 pública" o que saquen tu línea del CGNAT. Algunos proveedores lo hacen sin costo, otros lo cobran como servicio adicional o solo lo ofrecen en planes empresariales. Si necesitas que la dirección no cambie, pide IP fija; entiende la diferencia en IP fija e IP dinámica.

Usa IPv6

Muchos proveedores con CGNAT entregan IPv6 público a cada cliente. Si tu router y tu servicio son compatibles con IPv6, quien también tenga IPv6 podrá acceder a ti directamente, siempre que el firewall del router permita la entrada. La herramienta Mi IP muestra si ya tienes una dirección IPv6.

Usa un túnel o una VPN con salida pública

Los servicios de túnel inverso y las VPN en malla crean la conexión de adentro hacia afuera, lo que atraviesa el CGNAT. Otra opción es alquilar un servidor económico en la nube y hacer un túnel hasta él. Funciona bien, pero agrega latencia y depende de un tercero.

Prefiere los servicios en la nube del fabricante

Las cámaras y DVR modernos suelen ofrecer acceso por la app del fabricante, que también se conecta de adentro hacia afuera. No es tan flexible como el acceso directo, pero resuelve el problema para la mayoría.

Después del cambio, confirma

Cuando el proveedor te saque del CGNAT, repite la comparación: la IP WAN del router debe ser igual a la que muestra Mi IP. Luego, con la redirección configurada y el servicio funcionando, usa la prueba de puerto para confirmar desde afuera que el puerto está abierto.