Czym jest CGNAT i jak go obejść

Carrier-Grade NAT (CGNAT) to sposób, w jaki dostawcy usług internetowych radzą sobie z wyczerpaniem adresów IPv4. Zamiast przydzielać każdemu klientowi unikalny publiczny adres IP, dostawca umieszcza setki lub tysiące subskrybentów za jednym wspólnym publicznym adresem i tłumaczy ich połączenia na dużym routerze klasy operatorskiej. To ta sama idea, co NAT w twoim domowym routerze, ale na wyższym poziomie i współdzielona przez wiele gospodarstw domowych. Przy zwykłym przeglądaniu nigdy tego nie zauważasz — połączenia wychodzące działają dobrze. Problemem są połączenia przychodzące.

Ponieważ dzielisz publiczny adres IP z obcymi, tak naprawdę nie posiadasz adresu, do którego można dotrzeć. Nie możesz otworzyć portu do swojej maszyny, ponieważ to router dostawcy, a nie ty, decyduje, co ten wspólny adres IP robi z przychodzącymi pakietami — a on nie ma pojęcia, do którego subskrybenta ma trafić losowe połączenie przychodzące.

Jest szybki test. Znajdź swój publiczny adres IP na stronie "jaki jest mój IP", a następnie sprawdź adres IP wyświetlany na stronie statusu WAN twojego routera. Jeśli się różnią — twój router myśli, że jego adres WAN jest prywatny, podczas gdy świat widzi inny — jesteś za CGNAT. Wyraźnym znakiem jest adres WAN w zakresie 100.64.0.0/10, który jest zarezerwowany specjalnie dla CGNAT, lub adres WAN wyglądający na prywatny (10.x, 172.16–31.x, 192.168.x), gdy spodziewałeś się publicznego.

Objawy są wszystkie przychodzące: przekierowanie portów w twoim routerze nic nie daje, znajomi nie mogą dołączyć do gry, którą hostujesz, usługi hostowane samodzielnie są niedostępne z zewnątrz, a BitTorrent działa wolno bez przychodzących peerów. Wszystko, co próbujesz hostować, kończy się niepowodzeniem, mimo że wszystko, co odwiedzasz, działa.

Nie możesz pokonać CGNAT tylko z własnej strony, ponieważ brakujący element — publiczny adres IP, który jest twój — znajduje się u dostawcy usług internetowych. Uczciwe opcje: 1) Poproś swojego dostawcę usług internetowych o publiczny/statyczny adres IP; wielu oferuje jeden, czasami za niewielką opłatą. 2) Wynajmij VPS i uruchom swoją usługę tam, lub stwórz tunel do niego za pomocą WireGuard, aby publiczny adres IP VPS-a był przednią stroną twojej domowej usługi — standardowe rozwiązanie dla samodzielnych hostów. 3) Użyj dedykowanego / osobistego adresu IP: adresu zarezerwowanego dla ciebie, który, w przeciwieństwie do współdzielonego adresu CGNAT, może być faktycznie skierowany na twoją usługę i dodany do białej listy.

Wspólny wątek jest taki sam jak w przypadku przekierowywania portów: lekarstwem na "Nie mam prawdziwego publicznego adresu IP" jest uzyskanie takiego, który kontrolujesz. Współdzielony VPN nie zapewnia tego dla hostingu przychodzącego, ale VPS plus dedykowany adres IP to robi — stabilny adres z portami, które posiadasz. To bezpośrednia, uczciwa droga od "za CGNAT" do "osiągalny".