¿Cómo saber si tengo CGNAT? 3 formas de comprobarlo

Has abierto un puerto en el router, el servicio funciona dentro de casa y, aun así, desde fuera nadie consigue conectarse. Antes de revisar la configuración por décima vez, conviene comprobar si tu operador te tiene detrás de CGNAT. Esta guía explica qué es, cómo comprobarlo en unos minutos y qué opciones tienes para salir de CGNAT.

¿Qué es CGNAT?

CGNAT (Carrier-Grade NAT, a veces escrito CG-NAT) es una técnica con la que tu proveedor de internet comparte una misma IP pública IPv4 entre muchos clientes. Tu router ya hace NAT entre tus dispositivos y la dirección que recibe del operador; con CGNAT, el operador añade una segunda traducción en su red, y tu tráfico sale a internet con una IP pública que no es solo tuya.

Para navegar, ver series o hacer videollamadas no notas nada, porque esas conexiones las inicias tú. El problema aparece cuando alguien desde internet tiene que conectarse a ti: la conexión llega al CGNAT del operador, que no sabe a cuál de sus clientes va dirigida, y la descarta. Por eso abrir puertos en el router no funciona detrás de CGNAT: el router nunca llega a ver esa conexión.

Puedes ver la explicación completa en nuestra guía sobre cómo alojar tus propios servicios detrás de CGNAT.

1. Compara la IP del router con tu IP pública

Entra en la interfaz web de tu router (suele estar en 192.168.1.1 o 192.168.0.1) y busca la dirección IPv4 de la conexión a internet. Según el modelo, aparece en una sección llamada WAN, Internet o Estado.

Después mira tu IP pública real, la que ve internet. Puedes abrir nuestra página de inicio o ejecutar este comando desde cualquier equipo de tu red:

Copiarcurl https://api.getpublicip.com/ip

Compara las dos direcciones:

• Coinciden: tu router tiene la IP pública directamente. No hay CGNAT, y si abrir puertos no funciona, la causa está en otra parte.
• No coinciden: hay un NAT delante de tu router. Puede ser el CGNAT del operador o un segundo router en tu propia red. La siguiente comprobación te dice cuál de los dos.

2. Revisa a qué rango pertenece la IP WAN

La dirección que muestra el router dice mucho por sí sola. El RFC 6598 reservó el rango 100.64.0.0/10 (de 100.64.0.0 a 100.127.255.255) precisamente para CGNAT, para que los operadores lo usen dentro de su red sin chocar con direcciones públicas ni con los rangos privados de las redes domésticas.

Si ves una dirección privada, comprueba qué hay delante de tu router. Cuando ese otro equipo es tuyo o el router del operador, el doble NAT se puede resolver, por ejemplo abriendo los puertos en los dos routers o poniendo el del operador en modo bridge. Si la dirección privada viene de la red del operador, el efecto es el mismo que con CGNAT.

No todos los operadores usan el rango 100.64.0.0/10 para CGNAT; algunos usan otros bloques. Por eso la primera comprobación sigue siendo la más fiable: si la IP del router y tu IP pública no coinciden y no hay otro router tuyo delante, la conexión pasa por un NAT del operador.

3. Usa traceroute para ver los saltos

Si no puedes entrar en el router, traceroute muestra por qué routers pasa tu tráfico hasta un destino de internet. Usa cualquier dirección pública, por ejemplo 1.1.1.1.

En Linux o macOS:

Copiartraceroute -n 1.1.1.1

En Windows, desde el símbolo del sistema o PowerShell:

Copiartracert -d 1.1.1.1

El primer salto es tu router. Fíjate en los siguientes: si justo después aparece una dirección entre 100.64.0.0 y 100.127.255.255, es una señal clara de CGNAT. Si aparece una dirección privada como 192.168.x.x, puede ser otro router delante del tuyo.

Ten en cuenta que algunos saltos pueden no responder y aparecer como *, y que la red interna de un operador también puede usar direcciones privadas sin que haya CGNAT. Toma este resultado como un indicio y confírmalo con las comprobaciones anteriores.

¿Prefieres no usar la línea de comandos? Nuestra comprobación interactiva de CGNAT te ayuda a interpretar la IP de tu router.

¿Y ahora qué? Cómo salir de CGNAT

Si las comprobaciones confirman CGNAT, ningún ajuste en tu router hará que las conexiones entrantes por IPv4 lleguen. Estas son las opciones:

Pide una IP pública a tu operador. Algunos operadores sacan al cliente de CGNAT si lo pide, a veces con un coste adicional, pero no está garantizado y depende del operador y de la tarifa. En España, Digi es un operador conocido por usar CGNAT. Llama y pregunta directamente: «¿Mi conexión está detrás de CGNAT? ¿Puedo tener una IP pública?».

Usa IPv6. Si tu conexión tiene IPv6, cada dispositivo puede tener su propia dirección pública. Solo te servirá para los clientes que también tengan IPv6, y tendrás que permitir las conexiones entrantes en el router.

Cloudflare Tunnel o Tailscale. Cloudflare Tunnel publica webs (HTTP y HTTPS) sin abrir puertos. Tailscale conecta tus propios dispositivos entre sí. Ninguno de los dos te da una IP pública para otros protocolos o para cualquier persona en internet.

Una IP pública fija a través de un túnel. Con GetPublicIP, tu servidor abre un túnel WireGuard cifrado de salida, algo que CGNAT deja pasar sin problema, y recibe por él una IP pública fija IPv4 e IPv6 con todos los puertos. No tienes que tocar el router ni hablar con tu operador. Cuesta 8,99 USD al mes por IP. Tienes más detalles en IP pública fija con CGNAT, y puedes empezar cuando quieras: regístrate.

Si resulta que no tienes CGNAT y abrir puertos sigue sin funcionar, revisa nuestra guía abrir puertos no funciona.