¿Qué es CGNAT y cómo evitarlo?

Carrier-Grade NAT (CGNAT) es cómo los ISP enfrentan la agotamiento de direcciones IPv4. En lugar de dar a cada cliente una IP pública única, el ISP coloca a cientos o miles de suscriptores detrás de una única dirección pública compartida y traduce sus conexiones en un gran enrutador de grado de operador. Es la misma idea que el NAT en tu enrutador doméstico, pero un nivel más arriba y compartido entre muchos hogares. Para la navegación ordinaria nunca lo notas: las conexiones salientes funcionan bien. El problema es la entrada.

Porque compartes una IP pública con extraños, no posees verdaderamente una dirección accesible. No puedes abrir un puerto a tu máquina, porque el enrutador del ISP, no tú, decide qué hace esa IP compartida con los paquetes entrantes — y no tiene idea de a qué suscriptor está destinada una conexión entrante aleatoria.

Hay una prueba rápida. Encuentra tu IP pública en un sitio de "cuál es mi IP", luego mira la IP que se muestra en la página de estado WAN de tu router. Si difieren — tu router piensa que su IP WAN es privada mientras que el mundo ve una diferente — estás detrás de CGNAT. Una señal clara es una dirección WAN en el rango 100.64.0.0/10, que está reservada específicamente para CGNAT, o una IP WAN que parece privada (10.x, 172.16–31.x, 192.168.x) cuando esperabas una pública.

Los síntomas son todos entrantes: el reenvío de puertos en tu router no hace nada, los amigos no pueden unirse a un juego que hospedas, los servicios autoalojados son inaccesibles desde afuera, y BitTorrent funciona lentamente sin pares entrantes. Todo lo que intentas hospedar falla, aunque todo lo que visitas funciona.

No puedes derrotar a CGNAT solo desde tu lado, porque la pieza que falta — una IP pública que es tuya — está en el ISP. Las opciones honestas: 1) Pide a tu ISP una IP pública/estática; muchos ofrecen una, a veces por una pequeña tarifa. 2) Alquila un VPS y ejecuta tu servicio allí, o conéctate a él con WireGuard para que la IP pública del VPS represente tu servicio en casa — la solución estándar para quienes alojan sus propios servicios. 3) Usa una IP dedicada / personal: una dirección reservada para ti que, a diferencia de una compartida por CGNAT, puede ser apuntada a tu servicio y blanqueada.

El hilo común es el mismo que con el reenvío de puertos: la solución para "no tengo una IP pública real" es obtener una que controles. Una salida de VPN compartida no proporciona eso para el alojamiento entrante, pero un VPS más una IP dedicada sí lo hace — una dirección estable con puertos que posees. Ese es el camino directo y honesto de "detrás de CGNAT" a "alcanzable".