Що таке CGNAT і як його обійти

Carrier-Grade NAT (CGNAT) — це те, як провайдери викручуються з вичерпанням адрес IPv4. Замість того щоб дати кожному абоненту унікальний публічний IP, провайдер саджає сотні чи тисячі абонентів за одну спільну публічну адресу і транслює їхні з'єднання на великому операторському маршрутизаторі. Ідея та сама, що й у NAT вашого домашнього роутера, тільки поверхом вище й на багато домогосподарств одразу. Під час звичайного серфінгу ви цього не помічаєте: вихідні з'єднання працюють нормально. Проблема — у вхідних.

Оскільки публічний IP ви ділите з незнайомцями, доступної ззовні адреси у вас насправді немає. Відкрити порт до своєї машини не вийде, бо що робити з вхідними пакетами на цій спільній адресі, вирішує роутер провайдера, а не ви, — і він гадки не має, якому саме абоненту призначене випадкове вхідне з'єднання.

Є швидка перевірка. Дізнайтеся свій публічний IP на сайті «what is my IP», а тоді подивіться, який IP показує сторінка стану WAN у вашому роутері. Якщо вони різні — роутер вважає своєю WAN-адресою приватну, а світ бачить іншу — ви за CGNAT. Явна ознака — WAN-адреса з діапазону 100.64.0.0/10, зарезервованого саме під CGNAT, або приватна на вигляд WAN-адреса (10.x, 172.16–31.x, 192.168.x) там, де ви очікували публічну.

Симптоми всі про вхідні з'єднання: проброс портів у роутері нічого не дає, друзі не можуть зайти на гру, яку ви хостите, самостійно підняті сервіси недосяжні ззовні, а BitTorrent ледве повзе без вхідних пірів. Усе, що ви намагаєтеся хостити, не працює, хоча все, що ви відвідуєте, відкривається нормально.

Побороти CGNAT зі свого боку не вийде, бо бракує саме того, що лежить у провайдера, — публічного IP, який належить вам. Чесні варіанти: 1) Попросіть провайдера дати публічний/статичний IP; багато хто дає, іноді за невелику доплату. 2) Орендуйте VPS і піднімайте сервіс там або зробіть тунель до нього через WireGuard, щоб публічний IP цього VPS став фасадом для вашого домашнього сервісу — стандартне рішення самохостерів. 3) Візьміть виділений (персональний) IP: адресу, закріплену за вами, яку — на відміну від спільної під CGNAT — реально можна спрямувати на ваш сервіс і внести в білий список.

Спільна логіка та сама, що й з пробросом портів: ліки від «у мене немає справжнього публічного IP» — це отримати такий IP під свій контроль. Спільний вихід VPN для вхідного хостингу цього не дає, а VPS плюс виділений IP — дає: стабільна адреса й порти, які ваші. Це прямий і чесний шлях від «я за CGNAT» до «я доступний ззовні».