Cos’è il CGNAT e come ottenere un IP pubblico

Cos’è il CGNAT

Il CGNAT (Carrier-Grade NAT, chiamato anche CGN o NAT444) è una traduzione degli indirizzi fatta dentro la rete dell’operatore, che assegna al router di casa un indirizzo non pubblico e fa uscire su Internet molti clienti attraverso lo stesso IPv4 pubblico. Il router di casa fa già un primo NAT tra i tuoi dispositivi e la linea. Con il CGNAT se ne aggiunge un secondo, a monte, che non controlli.

Per questo secondo livello la RFC 6598 dell’aprile 2012 ha riservato il blocco 100.64.0.0/10, chiamato Shared Address Space: 4.194.304 indirizzi, da 100.64.0.0 a 100.127.255.255, da usare solo tra il CGNAT dell’operatore e i router dei clienti. Non sono indirizzi raggiungibili da Internet. I requisiti tecnici che un CGNAT deve rispettare sono raccolti nella RFC 6888 dell’aprile 2013.

Gli operatori lo adottano perché gli IPv4 liberi sono finiti: il RIPE NCC, il registro che distribuisce gli indirizzi in Europa, ha esaurito il suo ultimo blocco nel 2019 (la storia completa è nella guida IPv4 e IPv6). Condividere un indirizzo tra più clienti permette di attivare nuove linee senza comprare altri IPv4. Il CGNAT è frequente sulle reti mobili, sulle connessioni FWA e su alcune offerte in fibra, e un operatore può cambiare scelta nel tempo.

Come capire se la tua linea è dietro CGNAT

Il metodo affidabile è confrontare due indirizzi: quello che il router riceve dall’operatore (IP WAN) e quello con cui esci su Internet.

1. Apri il pannello del router. Se non sai a che indirizzo si trova, segui la guida come trovare l’IP del router.
2. Cerca la pagina di stato della connessione Internet. Secondo il modello si chiama “Stato”, “Internet”, “WAN” o “Panoramica”. Il dato da leggere è l’indirizzo IPv4 assegnato alla linea.
3. Dallo stesso collegamento, senza VPN, apri la pagina qual è il mio indirizzo IP e annota l’IPv4 pubblico.
4. Confronta i due valori con la tabella qui sotto.

Nel caso del doppio NAT in casa la soluzione è tutta tua: configura il modem dell’operatore in modalità bridge, se lo consente, o metti il secondo router in modalità access point. Se invece l’indirizzo privato arriva dall’operatore, la sola strada è chiedergli un IP pubblico.

Un indizio in più viene dal comando tracert su Windows o traceroute su Mac e Linux verso un sito qualsiasi: se uno dei primi salti dopo il router ha un indirizzo 100.64.x.x–100.127.x.x, la rete dell’operatore usa lo Shared Address Space. È un indizio, non una prova: l’unico confronto decisivo è quello tra IP WAN e IP pubblico.

Cosa non funziona con il CGNAT

Con il CGNAT funziona tutto ciò che parte da casa tua verso Internet e si blocca tutto ciò che deve arrivare da Internet fino a casa tua senza essere stato chiamato. La RFC 7021 del settembre 2013 riporta i test condotti da CableLabs e da due operatori via cavo nordamericani su reti con doppio NAT: posta e navigazione funzionavano normalmente, mentre giochi peer-to-peer, chiamate SIP dirette tra due utenti e il seeding dei torrent non riuscivano a stabilire la connessione.

• Port forwarding: puoi creare la regola nel router, ma il traffico si ferma al CGNAT dell’operatore e la porta risulta chiusa nel controllo porte.
• Accesso remoto a NAS, desktop remoto, domotica o server web di casa: non raggiungibili dall’esterno con l’indirizzo IPv4.
• Telecamere e videoregistratori che si consultano collegandosi all’IP di casa: non funzionano. Quelli che passano dal cloud del produttore di solito sì, perché è il dispositivo ad aprire la connessione verso l’esterno.
• Giochi online: ospitare una partita o un server dedicato diventa difficile, e le console segnalano spesso un tipo di NAT restrittivo.
• Centralini VoIP installati in sede e chiamate SIP dirette tra utenti: possono avere problemi di registrazione o audio a senso unico.
• Reputazione condivisa: se un altro cliente con lo stesso IP pubblico fa abusi, captcha e blocchi colpiscono anche te. La stessa RFC 7021 segnala che i limiti antispam per numero di connessioni da un solo indirizzo possono scattare per errore.

Il DNS dinamico (DDNS) non risolve il problema: aggiorna un nome con l’IP pubblico, ma quell’IP appartiene al CGNAT dell’operatore e non porta al tuo router.

Cosa chiedere all’operatore per avere un IP pubblico

Un IP pubblico è un indirizzo IPv4 assegnato solo alla tua linea e raggiungibile da Internet. Non va confuso con l’IP statico: un IP pubblico può essere dinamico e cambiare a ogni riconnessione, e basta già a far funzionare il port forwarding. L’IP statico resta fisso nel tempo e serve se devi inserirlo in una whitelist o vuoi evitare il DNS dinamico.

Gli operatori si comportano in modo diverso: alcuni assegnano l’IP pubblico su richiesta, altri lo prevedono come opzione a pagamento o solo nelle offerte business, altri non lo offrono su certe tecnologie. Prima di sottoscrivere un’opzione leggi la scheda dell’offerta e le condizioni contrattuali. Quando contatti l’assistenza, queste sono le domande utili:

1. La mia linea è dietro CGNAT? (Indica l’IP WAN che leggi nel router.)
2. Potete assegnarmi un IPv4 pubblico, anche dinamico? Serve un’opzione specifica o un cambio di profilo?
3. Ha un costo, una tantum o mensile? È compreso nella mia offerta?
4. In alternativa, è disponibile un IP statico e a quali condizioni?
5. La linea ha IPv6 attivo, con un prefisso pubblico delegato al router?
6. Sulla rete mobile o FWA: esiste un profilo o APN dedicato con IP pubblico?

Dopo la modifica riavvia il router e ripeti il confronto: l’IP WAN deve coincidere con quello mostrato in home. Poi crea la regola di inoltro seguendo la guida come aprire le porte del router e verifica il risultato con il controllo porte.

Alternative all’IP pubblico

Se l’operatore non assegna un IPv4 pubblico, o il costo non ti conviene, ci sono quattro strade. Tutte funzionano facendo partire la connessione dall’interno, il solo verso che il CGNAT lascia passare, oppure scavalcando IPv4.

• IPv6: molti operatori affiancano al CGNAT IPv4 un prefisso IPv6 pubblico, e in IPv6 ogni dispositivo ha un indirizzo raggiungibile senza NAT. Servono due condizioni: aprire la porta nel firewall IPv6 del router, che di norma blocca le connessioni in arrivo, e che anche la rete da cui ti colleghi abbia IPv6. Da molte reti Wi-Fi pubbliche o aziendali non è così.
• VPN con IP dedicato o con inoltro delle porte: alcuni fornitori VPN offrono un indirizzo pubblico riservato o l’inoltro di porte verso il tuo dispositivo. È un servizio a pagamento: verifica le condizioni prima di abbonarti.
• VPN mesh o overlay: servizi come Tailscale o ZeroTier, oppure un server WireGuard su un VPS, collegano i tuoi dispositivi in una rete privata che attraversa il NAT. È la scelta più sicura per l’accesso personale a NAS e desktop remoto, perché non espone nulla a Internet.
• Tunnel inverso: un piccolo programma in casa apre una connessione verso un servizio esterno, come Cloudflare Tunnel o un VPS con proxy inverso, che pubblica il tuo sito o servizio web. Adatto a HTTP e HTTPS, meno a giochi e VoIP.

Per le telecamere spesso basta l’app ufficiale del produttore, che passa dal suo cloud. Valuta però dove finiscono le immagini e quale protezione ha l’account.