¿Qué es CGNAT y cuándo lo necesita un ISP?

¿Qué es CGNAT? Es una traducción de direcciones que hace el propio proveedor de internet en su red, para que muchos suscriptores compartan una misma IPv4 pública. Un ISP lo necesita cuando ya no tiene direcciones IPv4 suficientes para crecer. Sin embargo, CGNAT solo alivia la escasez: la salida definitiva es IPv6.

¿Qué es CGNAT y cómo funciona en la red de un ISP?

CGNAT agrega una segunda traducción de direcciones dentro de la red del operador. Por eso el tráfico de un suscriptor pasa por dos NAT antes de llegar a internet.

Primero, el router del cliente traduce su red local, por ejemplo 192.168.1.0/24, a una dirección que el ISP le asigna en el rango 100.64.0.0/10. Luego, el equipo CGN del núcleo traduce esa dirección a una IPv4 pública compartida. Así, cientos de clientes pueden salir a internet con pocas direcciones públicas.

El rango 100.64.0.0/10 no es casual. La RFC 6598, publicada en abril de 2012, lo reservó para que los operadores numeren los enlaces entre el CGN y los equipos de sus clientes. Además, esa norma indica que estas direcciones no deben cruzar los límites de la red del proveedor.

Para repartir una IP pública, el CGN usa los puertos. Cada IPv4 tiene 65.535 puertos por protocolo, y el CGN asigna una parte a cada suscriptor. De hecho, la RFC 6888, de abril de 2013, exige que el equipo permita limitar los puertos externos por suscriptor. También pide que, por defecto, cada cliente mantenga la misma IP pública en todas sus sesiones.

¿Cuándo necesita CGNAT un ISP?

Un ISP necesita CGNAT cuando sus suscriptores crecen más rápido que sus direcciones IPv4. En América Latina y el Caribe esto es hoy la situación normal.

Según LACNIC, su reserva de direcciones IPv4 se agotó el 19 de agosto de 2020. Desde entonces solo reparte bloques devueltos o recuperados, mediante una lista de espera. Además, en la fase final cada organización nueva puede recibir una única asignación, de un /24 a un /22.

Por lo tanto, estas son las señales de que su red ya necesita CGNAT:

• Su pool de IPv4 públicas está casi lleno y no tiene un bloque nuevo a la vista.
• Cada nuevo suscriptor consume una IP pública que ya no puede reponer.
• Comprar o arrendar IPv4 en el mercado no encaja en su plan de crecimiento.
• Su despliegue de IPv6 todavía no cubre a todos los clientes.

¿Qué problemas trae CGNAT a los suscriptores?

Entender qué es CGNAT también implica conocer sus efectos. El principal problema es que el suscriptor deja de ser alcanzable desde internet. Como la IP pública es compartida, las conexiones entrantes no llegan a su red sin una regla especial en el CGN.

La RFC 6269, de junio de 2011, documenta estos efectos de compartir direcciones. En la práctica, los reclamos más comunes son estos:

• Reenvío de puertos: cámaras, grabadores, servidores y VPN entrantes dejan de funcionar desde fuera.
• Reputación compartida: si un cliente envía spam, la IP pública puede terminar en listas negras y afectar a todos.
• Geolocalización: los servicios ubican peor al usuario, porque la IP representa a muchos clientes.
• Aplicaciones exigentes: algunos juegos en línea y llamadas punto a punto se conectan con más dificultad.

Por eso muchos operadores mantienen un pequeño grupo de IPv4 públicas. Así pueden ofrecer una IP dedicada a quien de verdad la necesita, mientras el resto navega con CGNAT.

¿Qué debe registrar un ISP que usa CGNAT?

Un ISP con CGNAT debe registrar la IP pública, el puerto y la hora de cada traducción. Sin esos tres datos no puede saber qué suscriptor usaba una IP compartida en un momento dado.

La RFC 6888 lista como referencia el protocolo, el identificador del suscriptor, la dirección y el puerto externos, y la marca de tiempo. Al mismo tiempo, recomienda no registrar los destinos de cada conexión, salvo que la regulación lo exija, por razones de privacidad.

Ese volumen de registros crece rápido. En cambio, con NAT determinístico, descrito en la RFC 7422, cada suscriptor recibe un rango fijo de puertos y basta con guardar la configuración. En cualquier caso, el tiempo de retención depende de la regulación de cada país, así que conviene confirmarlo con la autoridad local.

¿CGNAT o IPv6: hay que elegir?

No hay que elegir, porque cumplen papeles distintos. CGNAT le da tiempo a la red IPv4, mientras que IPv6 elimina la necesidad de compartir direcciones.

De hecho, ambos trabajan bien juntos en dual stack. El tráfico hacia servicios con IPv6 sale de forma nativa y no pasa por el CGN. En consecuencia, baja la carga del equipo, se usan menos puertos y se generan menos registros. Si quiere profundizar, revise nuestra guía sobre por qué los ISPs deben migrar a IPv6.

¿Qué hay que dimensionar antes de implementar CGNAT?

Saber qué es CGNAT no basta para implementarlo bien. Antes de encenderlo conviene dimensionar puertos, sesiones y registros. Si alguno se queda corto, los clientes lo notan como fallas de conexión intermitentes.

• Primero, el pool público: cuántas IPv4 dedica al CGN y cuántos suscriptores comparten cada una.
• Luego, los puertos por suscriptor: un límite fijo evita que un solo cliente agote la IP compartida.
• Después, la capacidad del equipo: sesiones simultáneas y nuevas conexiones por segundo en la hora pico.
• También, los registros: almacenamiento y retención, o bien NAT determinístico.
• Finalmente, las excepciones y el plan IPv6: qué clientes reciben IP pública y cuándo llega IPv6 a toda la red.

¿Cómo lo resolvemos en IP Insight Support?

Si su equipo ya sabe qué es CGNAT, pero necesita dimensionarlo o implementarlo, podemos ayudarle. En IP Insight Support lo tratamos como parte de un plan de transición, no como un parche. Primero auditamos el uso real de direcciones y puertos. Luego diseñamos el CGN, las excepciones con IP pública y los registros. Además, dejamos IPv6 en marcha para que la red dependa cada vez menos de IPv4. Conozca el servicio de migración de redes e IPv6.

Preguntas frecuentes sobre CGNAT