Что такое CGNAT и как понять, что вы за ним

CGNAT — одна из причин ситуации «вроде интернет нормальный, но открыть доступ к своему компьютеру снаружи никак не получается».

Провайдер выдаёт абоненту адрес, интернет работает, сайты открываются, скорость хорошая. Но когда человек пытается поднять домашний сервер, подключиться к видеорегистратору или настроить входящий VPN, обычный проброс портов не помогает.

Что такое CGNAT

CGNAT расшифровывается как Carrier-Grade NAT. Это NAT, который работает уже не у вас дома, а внутри сети интернет-провайдера.

Схема может выглядеть так:

Компьютер
↓
192.168.1.20
↓
Ваш роутер
↓
100.64.x.x
↓
CGNAT провайдера
↓
Публичный IPv4
↓
Интернет

Зачем провайдеры используют CGNAT

Главная причина — дефицит IPv4.

Вместо отдельного публичного IPv4 каждому клиенту один внешний адрес может одновременно использовать множество абонентов.

Почему обычному пользователю CGNAT часто незаметен

Большинство домашних соединений создаётся изнутри наружу:

открыть сайт;
запустить приложение;
посмотреть видео;
скачать файл;
отправить сообщение.

Для таких задач CGNAT обычно не мешает.

Когда начинаются проблемы

Они возникают, когда соединение должно прийти из интернета к вам:

домашний веб-сервер;
NAS;
видеонаблюдение;
игровой сервер;
некоторые P2P-приложения;
собственный VPN;
удалённый доступ.

Почему port forwarding не спасает

Вы можете правильно настроить порт на своём роутере, но перед ним существует ещё один NAT провайдера.

Управления этим устройством у вас нет.

Диапазон 100.64.0.0/10

Для shared address space выделен диапазон:

100.64.0.0 – 100.127.255.255

Если WAN-интерфейс домашнего роутера имеет адрес из этого диапазона, CGNAT очень вероятен.

Но CGNAT может использовать и другую схему

Поэтому смотреть только на 100.64/10 недостаточно. Полезнее сравнить WAN IP роутера с внешним IP.

Простой способ проверить

Шаг 1. Откройте настройки роутера и найдите WAN IP.

Шаг 2. Посмотрите внешний IP через NexIP.

Если адреса различаются, возможно, между роутером и интернетом существует дополнительный NAT.

Пример

WAN роутера:
100.72.15.8

NexIP:
203.0.113.40

Здесь очевидно, что публичный адрес находится не непосредственно на домашнем роутере.

CGNAT означает, что мой IP используют другие люди?

Да, один публичный IPv4 может использовать несколько абонентов одновременно. Соединения различаются благодаря портам и таблицам трансляции провайдера.

Влияет ли CGNAT на геолокацию

Может. Внешний адрес относится к инфраструктуре провайдера, поэтому GeoIP иногда показывает соседний город, региональный узел или вообще неточную точку.

Влияет ли CGNAT на блокировки по IP

Иногда да. Если внешний адрес общий, действия одного пользователя теоретически способны повлиять на репутацию IP, которой пользуются и другие абоненты.

Что делать, если нужен входящий доступ

Первый и самый простой вариант — спросить провайдера, предоставляет ли он публичный IPv4. У некоторых операторов такая услуга платная, у других доступна по запросу.

Обязательно ли нужен статический IP

Нет. Для входящего соединения может быть достаточно публичного динамического IPv4, если провайдер действительно выдаёт его непосредственно вашему оборудованию.

Альтернативы публичному IPv4

В зависимости от задачи можно использовать:

IPv6;
VPN с доступной внешней точкой;
reverse tunnel;
overlay-сети;
облачный сервер как промежуточную точку.

CGNAT и IPv6

Наличие полноценного IPv6 способно решить часть проблем с адресацией. Но для доступа всё равно необходимо правильно настроить firewall.

Как NexIP помогает

NexIP показывает реальный внешний адрес, с которого запрос пришёл к сервису. Это одна из двух величин, которые нужно сравнить при диагностике CGNAT.

Что запомнить

CGNAT — NAT внутри сети провайдера.
Обычный интернет при нём работает нормально.
Входящие соединения становятся сложнее.
Port forwarding на домашнем роутере может быть недостаточен.
Сравните WAN IP и внешний IP.
Публичный IP не обязан быть статическим.

FAQ

CGNAT ухудшает скорость?

Сам факт CGNAT не означает автоматически низкую скорость. Качество зависит от реализации и инфраструктуры оператора.

Можно самому отключить CGNAT?

Нет, если он работает в сети провайдера. Нужно менять услугу или использовать обходную архитектуру.

Адрес 100.64.x.x — точно CGNAT?

Это специальное shared address space, широко используемое для таких схем. Но окончательный вывод лучше делать по всей сетевой конфигурации.