Cos'è CGNAT e come aggirarlo

Carrier-Grade NAT (CGNAT) è il modo in cui gli ISP affrontano l'esaurimento degli indirizzi IPv4. Invece di dare a ogni cliente un IP pubblico unico, l'ISP mette centinaia o migliaia di abbonati dietro un unico indirizzo pubblico condiviso e traduce le loro connessioni su un grande router di classe carrier. È la stessa idea del NAT nel tuo router domestico, ma a un livello superiore e condiviso tra molte famiglie. Per la navigazione ordinaria non te ne accorgi mai: le connessioni in uscita funzionano bene. Il problema è in entrata.

Poiché condividi un IP pubblico con estranei, non possiedi realmente un indirizzo raggiungibile. Non puoi aprire una porta per la tua macchina, perché il router dell'ISP, non tu, decide cosa fa quell'IP condiviso con i pacchetti in arrivo — e non ha idea per quale abbonato sia destinata una connessione in entrata casuale.

C'è un test veloce. Trova il tuo IP pubblico su un sito "qual è il mio IP", poi guarda l'IP mostrato nella pagina di stato WAN del tuo router. Se sono diversi — il tuo router pensa che il suo IP WAN sia privato mentre il mondo ne vede uno diverso — sei dietro CGNAT. Un chiaro indizio è un indirizzo WAN nell'intervallo 100.64.0.0/10, riservato specificamente per CGNAT, o un IP WAN dall'aspetto privato (10.x, 172.16–31.x, 192.168.x) quando ti aspettavi uno pubblico.

I sintomi sono tutti in entrata: il port forwarding nel tuo router non fa nulla, gli amici non possono unirsi a un gioco che ospiti, i servizi auto-ospitati sono irraggiungibili dall'esterno e BitTorrent funziona lentamente senza peer in entrata. Tutto ciò che provi a ospitare fallisce, anche se tutto ciò che visiti funziona.

Non puoi sconfiggere il CGNAT da solo, perché il pezzo mancante — un IP pubblico che è tuo — si trova presso l'ISP. Le opzioni oneste: 1) Chiedi al tuo ISP un IP pubblico/statico; molti ne offrono uno, a volte per una piccola fee. 2) Affitta un VPS e esegui il tuo servizio lì, oppure tunnelizza verso di esso con WireGuard in modo che l'IP pubblico del VPS rappresenti il tuo servizio domestico — la soluzione standard per chi ospita autonomamente. 3) Usa un IP dedicato / personale: un indirizzo riservato a te che, a differenza di uno condiviso da CGNAT, può effettivamente essere puntato al tuo servizio e whitelistato.

Il filo comune è lo stesso del port forwarding: la cura per "non ho un vero IP pubblico" è ottenerne uno che controlli. Un'uscita VPN condivisa non fornisce questo per l'hosting in entrata, ma un VPS più un IP dedicato sì — un indirizzo stabile con porte di tua proprietà. Questo è il percorso diretto e onesto da "dietro CGNAT" a "raggiungibile".