Guida introduttiva

CGNAT: perché non riesco ad accedere da fuori

Hai comprato una telecamera per vedere casa quando sei fuori, hai seguito tutte le istruzioni, ma da fuori non si collega mai. Oppure il NAS non risponde, o il videogioco segnala "NAT stretto". Nella maggior parte dei casi la causa è una sola: il tuo operatore ti ha messo dietro il CGNAT.

Il condominio senza citofoni

Con una connessione normale il tuo router ha un indirizzo pubblico tutto suo: un numero civico a cui, con la giusta configurazione, si può bussare da fuori.

Con il CGNAT l'operatore fa condividere lo stesso indirizzo pubblico a decine di clienti. È come se il tuo appartamento non avesse più un civico proprio: ce l'ha il palazzo, e tu sei uno degli interni. Puoi uscire quando vuoi — navighi normalmente — ma dall'esterno nessuno può bussare direttamente alla tua porta, perché il citofono non esiste.

Come capire se ti riguarda

Il metodo più rapido richiede trenta secondi. Prendi l'indirizzo IP che vedi nella pagina principale e confrontalo con quello che il router dichiara come proprio indirizzo WAN, nel suo pannello di amministrazione.

• Sono uguali — hai un indirizzo pubblico tuo: nessun CGNAT
• Sono diversi, e quello del router inizia con 100. seguito da un numero fra 64 e 127 — sei sotto CGNAT
• Anche indirizzi 10. o 192.168. sulla WAN indicano che c'è un altro apparato a monte

L'intervallo da 100.64.0.0 a 100.127.255.255 è riservato esattamente a questo uso: quando lo vedi, non è un errore di configurazione.

Perché lo fanno

Non è cattiveria né risparmio spicciolo: gli indirizzi IPv4 sono esauriti. In Europa il registro che li assegna li ha finiti nel 2019, e chi attiva nuove linee non ne ha a sufficienza per darne uno a ciascun cliente. Il CGNAT è la soluzione tecnica per continuare a fornire connettività con gli indirizzi disponibili.

Lo si trova quasi sempre sulle connessioni mobili e sul wireless fisso, spesso sulle offerte in fibra più economiche, e in generale sulle linee attivate negli ultimi anni.

Che cosa smette di funzionare

• Accesso da remoto a telecamere, videoregistratori e NAS senza appoggiarsi al cloud del produttore
• Server di gioco ospitati in casa e alcune modalità multigiocatore, che segnalano "NAT stretto"
• Server VPN sul proprio router per rientrare nella rete di casa
• Qualsiasi servizio che richieda l'apertura di una porta: il port forwarding non ha effetto, perché la porta andrebbe aperta sull'apparato dell'operatore
• Domini dinamici (DDNS): puntano all'indirizzo condiviso, che non porta a te

La navigazione, la posta, lo streaming e le videochiamate funzionano regolarmente: quelle partono sempre dall'interno.

Come uscirne

La strada diretta è chiedere all'operatore un indirizzo IP pubblico. Molti lo forniscono su richiesta, a volte gratuitamente e a volte con un piccolo canone mensile: nelle offerte per aziende è quasi sempre incluso. Va chiesto esplicitamente come "IP pubblico" o "uscita dal CGNAT".

Se non è possibile, esistono alternative che aggirano il problema senza toccare la connessione — servizi cloud del produttore, reti private virtuali di tipo overlay, tunnel verso un server esterno — e ci sono casi in cui IPv6 risolve tutto, perché diverse linee sotto CGNAT forniscono comunque un IPv6 pieno e raggiungibile. Le trovi confrontate nell'approfondimento tecnico.