Qué es CGNAT y cuándo lo necesita un ISP

Las direcciones IPv4 se acabaron hace años. Un operador que empieza hoy no puede dar una dirección pública a cada abonado, porque no las hay o cuestan demasiado. La solución que usa casi todo el sector es CGNAT: compartir una misma dirección pública entre muchos clientes.

Qué es CGNAT

CGNAT son las siglas en inglés de NAT de grado operador. Es el mismo mecanismo que usa el router de casa para que varios dispositivos salgan a internet con una sola dirección, pero aplicado en la red del operador.

Con CGNAT, el router del abonado no recibe una dirección pública. Recibe una dirección de un rango reservado para este uso, el 100.64.0.0/10. Cuando el abonado navega, un equipo del operador traduce esa dirección a una pública que comparte con otros abonados. Lo que distingue el tráfico de cada uno es el puerto.

Cuándo lo necesitas

Lo necesitas en cuanto tienes más abonados que direcciones IPv4 públicas. Para un operador nuevo eso ocurre desde el primer día.

Un ejemplo: con un bloque /24 tienes 256 direcciones. Sin CGNAT, darías servicio a unos 250 clientes. Con CGNAT y una proporción de 32 abonados por dirección, ese mismo bloque sirve para unos 8.000.

Cómo dimensionarlo

La decisión clave es cuántos abonados comparten cada dirección pública.

Cada dirección tiene unos 64.000 puertos utilizables. Si los repartes entre 32 abonados, cada uno dispone de unos 2.000 puertos. Si los repartes entre 128, se queda en 500. Un hogar con varios dispositivos, televisión y juegos puede usar cientos de conexiones a la vez, así que una proporción demasiado agresiva provoca fallos difíciles de diagnosticar.

Como orientación:

• 1:16 a 1:32: cómodo, casi sin incidencias.
• 1:64: razonable para clientes residenciales, vigilando el uso de puertos.
• Más de 1:128: empieza a dar problemas con abonados intensivos.

Mide el consumo real de puertos por abonado antes de apretar la proporción.

La obligación de guardar registros

Si un juzgado te pregunta quién usó una dirección IP en un momento dado, tienes que poder responder. Con CGNAT, la dirección sola no identifica a nadie: necesitas también el puerto y la hora exacta.

Hay dos formas de resolverlo:

• Registrar cada traducción. Funciona, pero genera un volumen enorme de datos que hay que almacenar durante el plazo legal.
• Asignar bloques de puertos fijos. A cada abonado le corresponde siempre el mismo rango de puertos de la misma dirección. No hace falta registrar cada conexión, solo conservar la tabla de asignación. Es la opción recomendable.

Los problemas que da al abonado

CGNAT funciona bien para navegar, ver vídeo y casi todo el uso doméstico. Falla cuando alguien necesita que le lleguen conexiones desde fuera.

• Abrir puertos: no es posible. El abonado ya no controla la dirección pública.
• Cámaras, servidores y domótica accesibles desde fuera dejan de funcionar, salvo que usen un servicio en la nube.
• Videojuegos: algunas consolas avisan de un tipo de NAT restrictivo y ciertas partidas no conectan.
• Bloqueos y verificaciones: si otro abonado que comparte tu dirección se porta mal, las webs pueden pedir comprobaciones adicionales a todos.
• Teletrabajo: algunas VPN de empresa no funcionan bien detrás de un doble NAT.

Cómo reducir las quejas

1. Ofrece IP pública bajo demanda. Reserva una parte de tus direcciones para los clientes que la pidan, gratis o como opción de pago. Suelen ser pocos.
2. Activa IPv6 desde el principio. Con doble pila, el tráfico hacia servicios con IPv6 no pasa por el CGNAT, lo que reduce su carga y evita parte de los problemas.
3. Explícalo en la contratación. Un cliente que sabe que puede pedir una IP pública no se da de baja por no poder abrir un puerto.
4. No tengas un único equipo de CGNAT. Si falla, todos los abonados se quedan sin IPv4. Monta dos.

CGNAT e IPv6 no son alternativas

A veces se plantea como una elección, y no lo es. Mientras siga habiendo servicios que solo funcionan con IPv4, tus abonados necesitarán IPv4, y eso significa CGNAT. IPv6 es lo que hace que ese CGNAT tenga cada vez menos tráfico y menos problemas.

Dónde encaja en tu red

El CGNAT se sitúa entre la agregación de tus abonados y tu salida a internet. Si vendes fibra sobre red ajena con FTTH Bitstream, recibes el tráfico agregado de tus clientes y puedes aplicar ahí tu propio CGNAT, o usar el direccionamiento del mayorista mientras creces.

Cuando decidas tener direcciones propias, el camino pasa por conseguir un ASN y rangos en RIPE. Y si estás empezando, en cómo montar un operador de fibra de marca blanca repasamos el resto de piezas.