CG-NAT: Entendiendo la Traducción de Direcciones de Red a Gran Escala y sus Implicaciones

Vamos a explicarte qué es el CG-NAT, una tecnología que tienen algunos operadores cuando contratas Internet con ellos. No todos los operadores dejan claro si cuando contratas Internet con ellos vas a tener CG-Nat o no, y por eso vamos a intentar explicártelo. CG-NAT es una tecnología temida por muchos usuarios de conexiones de Internet, sobre todo de fibra óptica, pero también es más que necesaria para gestionar las limitaciones del espacio de direcciones IP. En este artículo, te contaremos todas las claves sobre qué es, cómo se usa, si deberías evitarlo y cómo.

¿Qué es el CG-NAT?

El término CG-NAT significa Carrier-Grade Network Address Translation, lo que en español viene a ser algo como NAT de grado de operador o NAT a gran escala. CG-NAT es la abreviación del término anglosajón Carrier Grade Network Address Translation, cuya traducción al español sería Traducción de Direcciones de Red de Nivel de Operador. En esencia, lo que hace es que varios clientes o usuarios puedan usar una única IP Pública. Es decir, el CG-NAT posibilita que varios clientes puedan conectarse a internet compartiendo la misma IP pública, que es la que nos identifica como usuarios en la red. Esta técnica se vuelve indispensable desde el momento en el que el número de IPv4 públicas que se pueden utilizar a nivel global es limitado. Las direcciones IPv4 públicas se han agotado, aunque los operadores de Internet en España todavía tienen direccionamiento público para asignar a sus clientes, la situación es tan grave para algunos operadores que están utilizando una tecnología llamada Carrier Grade NAT, también conocida como CGN o CG-NAT, para ahorrar una gran cantidad de direccionamiento IP público que actualmente es muy escaso.

Para eso, lo que hace es que las redes se configuren con direcciones de red privadas en vez de públicas. Luego, todas ellas se convierten a direcciones públicas con equipos de traducción intermedios entre nosotros y la red. Cuando se empezó a ver que el direccionamiento IPv4 se iba agotando, aparecieron tecnologías como el NAT (Network Address Translation) que permiten tener una dirección IP pública compartida con decenas o cientos de equipos en una misma red local. El CG-NAT es un NAT a gran escala, es una tecnología que permite al operador proporcionar una dirección IPv4 privada en la WAN de cada router que tenga el cliente en su casa, es decir, tendremos un doble NAT para salir a Internet, el primero lo tendremos en nuestro router con el típico direccionamiento de siempre, y posteriormente tendremos un NAT a nivel de operador. Pues bien, si el NAT funciona a nivel local, el CG-NAT funciona a nivel del operador. Nuestro proveedor de servicios (ISP) agrupará a sus clientes en grupos (por ejemplo, de 32 clientes) y les asignará una misma dirección IP pública de Internet.

¿Por qué es necesario el CG-NAT?

Internet tiene un problema, y es que hay escasez de direcciones IP. Concretamente hay escasez de direcciones IPv4, aunque esto es algo que se soluciona con el paso a las IPv6. CG-NAT surge como una respuesta ante la baja disponibilidad de IP públicas. ¿Y por qué hay pocas IP disponibles? Básicamente por su formato de 32 bits, que limita el número de direcciones a 4000 millones (4.294.967.296 exactamente). ¿Y cómo se gestiona una cantidad tan pequeña de IPs? Pues básicamente mediante su asignación en bloques a los distintos operadores de internet, también denominados sistemas autónomos o ASN. Comprar estos bloques de direcciones cuesta dinero, y cada vez más.

Las operadoras no disponen de muchas direcciones IP antiguas de tipo v4, así que se ven obligadas a compartir las pocas que tienen entre sus clientes. Que un operador haga uso de CG-NAT es algo malo para algunos clientes, pero no para todos. En las redes de banda ancha móvil, los operadores utilizan esta tecnología desde hace bastantes años, porque en nuestro smartphone recibimos una dirección IP privada y no directamente una dirección IPv4 pública enrutable en Internet.

Inconvenientes asociados con el uso de CG-NAT

La primera de las molestias es que algunas aplicaciones y juegos online pueden no funcionar correctamente. Por la misma razón, también puede haber problemas al usar un servidor FTP o un NAS. Además, si tienes algún dispositivo domótico conectado que requiera una IP pública, también puede haber problemas al tenerla compatible. Para la mayoría de clientes CG-NAT no supone ningún inconveniente. Es posible navegar por la web, ver streaming, o chatear con apps de mensajería sin ningún problema. De hecho, la práctica totalidad de conexiones de datos móviles utilizan CG-NAT, sin que suponga un inconveniente para el usuario, aportando incluso alguna ventaja, como el ahorro de batería del móvil.

Sin embargo, tener una dirección IP pública asignada directamente al router es imprescindible en algunos casos, ya que es la única manera de permitir el acceso remoto a nuestro hogar u oficina cuando estamos fuera, sin depender de servicios externos. Conseguir ID alta al descargar con eMule, un tipo de NAT abierta para albergar partidas en la videoconsola, o conectar con tu HomeAssistant para controlar la domótica, son algunas de las razones por las que puedes querer tener una dirección IP exclusiva fuera de CG-NAT.

Ahora bien, hay situaciones específicas en las que tener CG-NAT te puede causar problemas:

Apertura de puertos

Una de las desventajas de usar una conexión con CG-NAT es la imposibilidad de abrir y redirigir puertos específicos del router, ya que nuestro dispositivo no poseerá una IP pública dedicada. Al tener un segundo NAT a nivel de red, no importa que nosotros abramos los puertos o usemos la DMZ, porque seguiremos estando detrás del NAT del operador. Para un usuario residencial es muy importante saber si nuestro operador nos ha metido dentro del CG-NAT, con el objetivo de saber si vamos a poder abrir puertos o vamos a tener grandes problemas con ello. Jugar a juegos en línea y utilizar aplicaciones P2P que requieran la apertura de puertos específicos para acceder desde fuera de la red, abrir servidores FTP, NAS, web o VPN, y controlar los dispositivos de domótica son algunas de las tareas que se ven afectadas por el CG-NAT.

Mayor latencia

Otro problema es que usar una CG-NAT suele hacer que tu conexión tenga una mayor latencia. Al utilizar CG-NAT, es común experimentar un ligero aumento de la latencia. Para el usuario medio, esto no supondrá ningún escollo para poder disfrutar de una experiencia en red gratificante. En muchos casos la latencia al usar CGN es algo superior en comparación, ya que dependemos del tráfico y del NAT de otros usuarios que hay conectados.

Posible bloqueo de la IP

Los baneos online también pueden ser un problema. Como compartes la IP pública, que es tu matrícula a la hora de navegar en Internet, si a una de las personas que la comparten contigo la banean de algún servicio o web, también te va a afectar a ti. Esto ocurre cuando puedas verte afectado por bloqueos de IP causados por otras personas que están en el mismo bloque CG-NAT.

Ventajas de utilizar CG-NAT

Lo que para muchos es un inconveniente, para otros puede convertirse en una ventaja estratégica. Disfrutar de una mayor seguridad. El hecho de tener dificultades para poder abrir puertos específicos brinda una mayor protección frente a determinados ataques. El bloqueo de las conexiones en remoto indeseadas.

¿Cómo puedo saber si estoy usando una conexión con CG-NAT?

Para saber si tienes CG-NAT, es muy sencillo: debes entrar en la puerta de enlace de tu router y comprobar la IP WAN en su información. Para saber si tu operador te tiene dentro de CG-NAT, se puede hacer de varias formas, pero la más sencilla es meterte en tu router y comprobar qué dirección IP tenemos en la WAN de Internet. Si estrenas conexión o has solicitado que te asignen IP pública, te preguntarás ¿cómo puedo verificar que mi conexión ya no tiene CG-NAT? Lo primero que tienes que averiguar es la IP con la que navegas. Esto puedes hacerlo visitando nuestra herramienta ⛳ Cuál es mi IP pública real. A partir de este punto hay dos métodos para saber si tienes CG-NAT, pero solo uno es 100% efectivo.

Comprobar la dirección IP en el router

Debes acceder a su web de administración, cuya dirección URL suele venir, junto con los credenciales de acceso, en una etiqueta pegada bajo el equipo. Tras introducir las credenciales oportunas, se debe buscar un apartado en el que ponga ‘WAN IP Address’, ‘WAN IP’ o nomenclaturas similares, en el que aparece la propia dirección IP. En el caso de que esta dirección IP de la WAN no se corresponda con la IP pública, y, además, esa IP del router empieza por «100.X.X.X», significa que estás dentro de CG-NAT, por lo que tendrás todos los problemas que hemos descrito anteriormente sobre abrir los puertos y alojar diferentes servicios.

Saldrás de dudas comprobando si la IP del router está dentro del rango 100.64.0.0/10. Este espacio de más de 4 millones de direcciones está reservado oficialmente para que los proveedores de internet hagan CG-NAT. Si la IP de tu router está comprendida entre 100.64.0.0 y 100.127.255.255, tu proveedor de internet está utilizando sin ninguna duda un sistema CG-NAT. Algunos proveedores de internet de pequeño tamaño utilizan direcciones privadas en vez de las reservadas para CG-NAT. Las identificarás porque están dentro de los siguientes rangos:

• 10.0.0.0 a 10.255.255.255 (10.0.0.0/8)
• 172.16.0.0 a 172.31.255.255 (172.16.0.0/12)
• 192.168.0.0 a 192.168.255.255 (192.168.0.0/16)

Comparar la IP del router con la IP pública

Otro método muy cómodo para saber si se está usando CG-NAT es comparar la IP obtenida al acceder al router con otra que se puede conseguir visitando páginas como Cuál es mi IP. Si la IP del router coincide exactamente con la obtenida en la web, no estaremos usando una conexión con CG-NAT. Si por el contrario, las direcciones no coinciden, tu conexión está detrás de un router haciendo CG-NAT.

Realizar un traceroute a la IP pública

El primer método que habitualmente se usa para tratar de averiguar si estas detrás de CG-NAT es haciendo un traceroute a tu IP pública. Una vez abierto, se debe escribir ‘tracert 150.150.150.150’, lo cuál nos permitirá conocer el número de “saltos” para poder llegar a la IP pública. Por lo tanto, si la traza posee un único salto, no estaremos usando el CG-NAT para conectarnos a internet. Sin embargo, este método no es fiable, ya que para empezar requiere que tu router soporte NAT loopback y que el firewall le permita responder.

Test de CG-NAT online

Como bonus te dejo un tercer sistema poco conocido, pero útil cuando no se tiene acceso a la configuración del router. Se trata de un test online, aunque te aviso que no es 100% fiable y además resulta complicado entender cómo funciona. Si no tienes conocimientos básicos de redes perderás el tiempo sin averiguar nada. El test solo funciona cuando el sistema CG-NAT utilizado por la operadora es de tipo determinístico, en el que a cada cliente se le asigna un rango de puertos fijo. Lo que hace el test es abrir conexiones y comprobar si se reutilizan los mismos puertos. Tendrás que saber interpretar la información que se va mostrando en la gráfica 2D Source Port distribution a medida que pulsas repetidamente el botón del test.

Contactar con la operadora

Dado que hay proveedores de servicios de internet que trabajan con CG-NAT y otros que no, otra opción es contactar directamente con la operadora para salir de dudas. El que tengas una conexión con CG-NAT depende de la operadora donde tengas contratado Internet. Algunas de ellas no lo usan, pero hay otras que sí. Pero lo mejor es que contactes con tu operadora para salir de dudas.

Operadoras que utilizan CG-NAT en España

Como te comentábamos, algunos operadores españoles suelen recurrir al CG-NAT ante la escasez de direcciones IP y su coste en aumento. CG-NAT es empleado sobre todo por las redes más jóvenes, como la de MásMóvil, Digi y Adamo. Cuando se crearon estas compañías, la política de RIPE, organismo encargado de repartir las IPs en Europa, ya era más restrictiva, así que les asignó menos direcciones. Las operadoras más veteranas, como Movistar, Orange y Vodafone, no suelen utilizar CG-NAT, a pesar de que en algún caso, como veremos, se reservan la posibilidad de activarla en sus segundas marcas. Las operadoras que usan CG-NAT suelen excluir de este sistema a los clientes que lo solicitan. Hay quien cobra por ello y hay quien lo hace de forma gratuita.

Resumen de operadores y CG-NAT

CG-NAT en Movistar y O2

Movistar no usa CG-NAT en las conexiones de fibra de su marca principal. Además es la única operadora que ofrece un segundo APN para los datos móviles, que tiene la peculiaridad de que asigna una IP pública. Tampoco usa CG-NAT la fibra de su segunda marca O2, que destaca como una ventaja que siempre asigna una "IP pública y dinámica" para evitar los inconvenientes de "la tecnología CG-NAT, empleada por otras operadoras".

CG-NAT en Orange, Jazztel y Simyo

De entrada, Orange y Jazztel no utilizan CG-NAT si el cliente navega exclusivamente con IPv4, que es lo habitual. Sin embargo, cuando el cliente tiene activado IPv6, la conectividad sobre IPv4 pasa a funcionar a través de CG-NAT. En clientes con IPv6, la parte IPv4 usa CG-NAT. Estos operadores no utilizan CG-NAT en sus conexiones, pero están utilizando la tecnología DS-Lite en sus redes, para proporcionar conectividad a Internet tanto con el protocolo IPv6 como también con el protocolo IPv4. Para poder abrir los puertos, simplemente tendremos que abrir los puertos como haríamos normalmente en un router Livebox, y automáticamente el protocolo PCP actuará para abrir los puertos. Por supuesto, el puerto a abrir no podrá ser los típicos 80 o 443 entre otros, sino que serán puertos aleatorios, por lo que la solución no es del todo buena si pretendes alojar servidores web o un proxy inverso al que accedas vía HTTPS. Simyo explica en su web que sí utiliza CG-NAT y que por el momento no hay forma de solicitar una IP en exclusiva. La realidad que vemos en los foros es distinta y al parecer, en la práctica no emplea CG-NAT.

CG-NAT en MásMóvil, Yoigo, Pepephone, Euskaltel, R y Telecable

El Grupo MásMóvil utiliza CG-NAT de forma habitual, incluyendo a los clientes de las marcas Yoigo y Pepephone. Como confirman en su web, con una llamada sacan la conexión de CG-NAT asignando direccionamiento público. Las cableras del grupo Euskaltel, R y Telecable no especifican si usan CG-NAT. La experiencia nos dice que en los últimos años, tras la compra del grupo por parte del Grupo MásMóvil y la migración del cable HFC a FTTH, han pasado a utilizar CG-NAT de forma habitual. Con una llamada suelen pasar la conexión a IP pública.

CG-NAT en Vodafone y Lowi

De entrada, ni Vodafone ni su segunda marca Lowi utilizan CG-NAT, aunque en sus respectivas webs no se especifica su política al respecto. Sin embargo, cada cierto tiempo aparecen en los foros hilos de usuarios que aseguran tener CG-NAT de forma puntual. Los rumores dicen que pueden entrar en CG-NAT las líneas que no han abierto puertos en 3 meses, aunque esto no está confirmado.

CG-NAT en Digi

Digi es la operadora más afectada por la escasez de direcciones IPv4, por lo que siempre utiliza CG-NAT por defecto, como confirma en su web. Este operador sí utiliza CG-NAT en sus redes para ahorrar direccionamiento IPv4 público, además, este operador no permite salir del CGN de manera gratuita, tendrás que pagar 1€ más al mes por disfrutar de todas las ventajas de tener una dirección IP pública en tu conexión doméstica. Afortunadamente se puede contratar el servicio Conexión Plus por 1 € al mes para obtener direccionamiento público. Otras operadoras como Digi lo usan, aunque tienes opción de desactivar el CG-NAT si contratar Conexión Plus por un euro al mes.

CG-NAT en Finetwork

Finetwork aclara en su web que puede utilizar CG-NAT en algunas redes, aunque no dice cuáles. Sabemos que como norma general no utiliza CG-NAT con los clientes a los que llega utilizando la red de su proveedor mayorista Vodafone (incluyendo terceras redes, como Orange o Movistar), ya sea FTTH o HFC. La excepción la encontramos cuando utiliza su propia red FTTH, disponible en muy pocos sitios, donde sí utiliza CG-NAT y no hay posibilidad de eliminarlo. Este operador utiliza de forma obligatoria CGN en sus conexiones, por lo que no podrás pagar un extra para salir ni tampoco pedirlo, porque simplemente no proporcionan conexiones a Internet sin CG-NAT.

CG-NAT en Adamo

Adamo no aclara en su web si da IP pública o tiene CG-NAT, pero gracias a los foros sabemos que sí utiliza CG-NAT en muchos casos. Afortunadamente, permite obtener IP pública de forma gratuita con una llamada de teléfono.

Cómo salir del CG-NAT

Afortunadamente, la mayor parte de las operadoras que trabajan con CG-NAT permiten dejar de utilizarla y asignarnos una IP pública fija sin ningún tipo de problema. Tras una llamada para comunicar la solicitud, el proveedor de servicio nos permitirá salirnos del CG-NAT. Una vez que se nos comunica la salida del CG-NAT, deberemos apagar el router y esperar unos minutos. Por otro lado, hay ciertas operadoras que impondrán un ligero incremento de la tarifa mensual para realizar este cambio. Y, por último, hay otras que directamente no podrán satisfacer esta demanda. Virgin hace lo mismo, y puedes desactivar la tecnología contactando con el servicio técnico.

tags: #cristor #atlas #con #cg #nat