Internet y conectividad

CG-NAT: abrir puertos no siempre basta

La diferencia entre la IP de tu router y la dirección pública ayuda a detectar una barrera aguas arriba, pero no basta para identificar por sí sola quién la aplica.

Por Rafael Garcia
Por Rafael Garcia
Diagrama conceptual de una conexión que pasa desde Internet por una red del operador y un router doméstico antes de llegar a un dispositivo.

Has configurado el reenvío de puertos en el router, pero el servidor, la cámara o el juego siguen sin aceptar conexiones desde fuera de casa. Una posibilidad es que haya otro traductor de direcciones entre tu router y la red pública: el CG-NAT del operador. En ese caso, la regla local solo controla una parte del recorrido.

Eso no significa que Internet vaya a ir más lento ni confirma automáticamente que tu compañía use CG-NAT. Primero hay que distinguir una dirección pública de una dirección privada, comparar la dirección WAN del router con la que ve Internet y descartar un segundo router propio. La documentación de la IETF reserva el bloque 100.64.0.0/10 para espacio compartido usado en redes de proveedores, pero también existen direcciones privadas RFC 1918 que pueden aparecer por otras razones.

Diagrama conceptual de una conexión que pasa desde Internet por una red del operador y un router doméstico antes de llegar a un dispositivo.
Ilustración conceptual generada con IA; no representa la interfaz ni la configuración de un operador concreto.

Qué significa CG-NAT

La traducción de direcciones de red (NAT) permite que varios equipos compartan una dirección IPv4. En una vivienda, el router suele traducir las direcciones locales de móviles, ordenadores y otros dispositivos para que salgan a Internet usando la conexión del hogar. Con CG-NAT —Carrier-Grade NAT— el proveedor añade otra traducción en su red y varios clientes pueden compartir una dirección IPv4 pública.

La IETF describe el espacio compartido 100.64.0.0/10 como un bloque de uso especial pensado para facilitar despliegues de CGN; es distinto de los rangos privados RFC 1918 habituales en redes domésticas. El intervalo va de 100.64.0.0 a 100.127.255.255 y no es direccionable de forma global. Esa reserva es una pista técnica útil, no una etiqueta que aparezca siempre en todos los equipos: los proveedores pueden diseñar sus redes de formas distintas.

En una configuración doméstica normal puede haber una traducción en tu router. Cuando el operador también traduce conexiones, un puerto reenviado en el equipo de casa no crea por sí solo una regla en el dispositivo del proveedor. La solicitud entrante puede quedarse detenida antes de llegar a tu router.

Por qué abrir un puerto puede quedarse a medias

El reenvío de puertos crea una asociación entre un puerto de la interfaz exterior del router y un dispositivo o servicio de la red local. Para que una conexión iniciada desde Internet funcione, el paquete debe llegar a esa interfaz exterior y cada equipo intermedio debe permitir y encaminar el tráfico correspondiente.

Si existe una traducción adicional en la red del operador, hay otra tabla de estado que el cliente no administra desde el panel de su router. El paquete no tiene necesariamente una ruta hasta tu equipo; configurar una segunda regla en casa no modifica la traducción que controla el operador. El RFC 6598 explica que el espacio compartido no es globalmente enrutable y describe por qué las aplicaciones que esperan conexiones entrantes pueden verse afectadas.

Recorrido de una conexión entrante con CG-NATInternet llega a una dirección compartida del operador, atraviesa el CG-NAT y después el router doméstico antes de alcanzar el dispositivo. El usuario solo configura el router doméstico.InternetRed del operadorCG-NATRouterde casaDispositivoRegla fuera de tu panelRegla que sí configuras
Esquema simplificado: una regla en el router doméstico no configura automáticamente los equipos de la red del proveedor.

Cómo comprobar la dirección que recibe el router

  1. Entra en el panel del router y busca «Internet», «WAN», «IPv4» o «estado de conexión». Anota la dirección IPv4 asignada a su interfaz exterior.
  2. Desde un navegador, consulta la IPv4 pública que observa un servicio de comprobación de IP. Asegúrate de que el servicio muestra IPv4 y no solo IPv6.
  3. Compara ambos valores. Si coinciden, normalmente el router tiene asignada esa dirección exterior; si difieren, puede haber otra traducción o equipo aguas arriba. La comparación no identifica por sí sola al responsable.

Fíjate especialmente en la dirección WAN. El rango 100.64.0.0/10 es espacio compartido para redes de proveedor, mientras que 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16 pertenecen al espacio privado definido por RFC 1918. Encontrar una de estas direcciones en la WAN significa que esa interfaz no tiene una IPv4 global; no prueba automáticamente que sea CG-NAT del operador.

También puede haber doble NAT dentro de casa: por ejemplo, un módem-router del proveedor conectado a un segundo router. Antes de concluir que la barrera está en la red del operador, comprueba si hay dos equipos en modo router y si la dirección WAN del segundo pertenece a la red local del primero. Si la dirección WAN es pública pero la comparación no coincide, puede existir una arquitectura distinta, un cambio reciente o una comprobación que haya medido otra familia IP.

Comprobación inicial de una posible IP compartidaConsulta la IP WAN y compárala con la IPv4 observada desde Internet. Una WAN compartida o privada merece preguntar al operador y descartar primero un segundo router.¿Qué IPv4 muestra la WAN del router?100.64/10 o RFC 1918No es una IPv4 globalIPv4 públicaCompara con la vista externaDescarta segundo router; pregunta al ISPSi difieren, investiga otra capa
Una comparación orienta el diagnóstico; solo el proveedor puede confirmar la arquitectura y las opciones de la línea.

Qué síntomas puede causar y qué no demuestra

CG-NAT suele ser relevante cuando un servicio necesita recibir una conexión nueva desde Internet: alojar un servidor accesible, conectarse a ciertos servicios remotos o aceptar tráfico directo en una aplicación. El efecto depende del protocolo, del diseño del servicio y de mecanismos de intermediación; no todas las aplicaciones fallan de la misma forma.

No es una explicación automática para una fibra lenta, una señal Wi-Fi débil o una videollamada con cortes. DIGI, por ejemplo, indica en su información para clientes que usa CG-NAT en sus conexiones de Internet y afirma que el uso ordinario de navegación, vídeo y videollamadas puede seguir con normalidad. Es un ejemplo de las condiciones que comunica ese operador, no una regla universal para otras compañías ni una medición independiente de su red.

Si el problema es la calidad de una llamada, separa primero cobertura inalámbrica, latencia, pérdida de paquetes y congestión. Nuestra guía sobre qué medir cuando hay cortes pese a tener buena velocidad trata esas señales. Para revisar la resolución de nombres sin confundirla con NAT, consulta también qué cambia y qué no cambia al usar DNS privado.

Alternativas si necesitas conexiones entrantes

  • Pregunta al proveedor: solicita que confirme si tu línea está tras CG-NAT y si ofrece IPv4 pública o una opción de IP exclusiva. Pide que precise coste, permanencia, si la IP es dinámica o fija y si el servicio permite el tráfico que necesitas. Las condiciones comerciales cambian; consulta la documentación vigente.
  • Revisa IPv6: si tu operador, router y aplicación lo soportan, puede proporcionar conectividad directa sin compartir IPv4. Aun así, necesitas configurar un cortafuegos y permitir solo lo imprescindible; una dirección global no sustituye a la seguridad.
  • Usa una conexión iniciada desde dentro: un túnel o VPN con un punto accesible puede servir para algunos usos, pero añade un tercero, una cuenta y requisitos de seguridad. Comprueba el modelo de confianza, el coste y quién puede acceder a la salida.
  • Adapta el diseño del servicio: algunos dispositivos domésticos usan servidores intermediarios del fabricante. Esa opción puede funcionar detrás de CG-NAT, pero depende del servicio y de su política de privacidad; no equivale a controlar directamente el router desde Internet.

Qué preguntar antes de cambiar el router

Antes de comprar otro equipo, anota qué quieres conseguir, qué puerto o protocolo necesita la aplicación y qué dirección aparece en la WAN. Pregunta al proveedor si existe CG-NAT, si puede retirarte de él y si la opción incluye la dirección que necesita tu caso. DIGI publica su situación y su alternativa de conexión con IP exclusiva en su página de fibra; revisa allí las condiciones actuales si eres cliente suyo, sin extrapolarlas a otras operadoras.

Si el proveedor confirma CG-NAT y no ofrece una solución compatible, cambiar el router de casa no eliminará la traducción que está en su red. En cambio, si descubres un segundo router propio, puede bastar con reorganizar el modo puente o el reenvío entre tus dos equipos. Identificar qué capa administra cada dirección evita compras, ajustes y aperturas de puertos que no resolverían el problema.

Fuentes y agradecimientos

Gracias a la Internet Engineering Task Force por documentar el espacio compartido de IPv4 para CGN y los rangos privados; y a DIGI por publicar información sobre la configuración de su servicio. Las fuentes respaldan las explicaciones atribuidas, no un diagnóstico de una línea concreta ni una prueba propia del equipo del lector.

Responsable editorial de Gaia Genius Hub. Las fuentes y el alcance de cada publicación se indican en el contenido.