CGNAT może działać całkowicie niezauważalnie podczas zwykłego korzystania z internetu. Problem pojawia się najczęściej przy przekierowaniu portów, serwerze domowym, NAS-ie, monitoringu czy zdalnym dostępie do sieci. Żeby sprawdzić, czy operator stosuje CGNAT, wystarczy porównać kilka informacji z routera i potwierdzić sposób przydzielania adresu IPv4.
Co to jest CGNAT i dlaczego operatorzy go stosują
CGNAT, czyli Carrier-Grade NAT, jest mechanizmem translacji adresów wykorzystywanym w sieci operatora. Z punktu widzenia użytkownika działa podobnie do NAT-u w domowym routerze, ale obejmuje znacznie większą liczbę urządzeń.
W klasycznej sieci domowej router może mieć jeden publiczny adres IPv4, a urządzenia wewnętrzne korzystają z adresów prywatnych. Router tłumaczy połączenia pomiędzy obiema stronami.
Przy CGNAT pojawia się dodatkowa warstwa. Router klienta nie musi otrzymywać własnego publicznego IPv4. Operator może przypisać mu adres należący do swojej sieci wewnętrznej, a dopiero później przetłumaczyć ruch na wspólny adres publiczny.
W efekcie jeden publiczny IPv4 może obsługiwać wielu abonentów. Jest to sposób na ograniczenie zapotrzebowania na coraz trudniej dostępne adresy IPv4.
Dla przeglądania stron, oglądania filmów czy korzystania z komunikatorów CGNAT zazwyczaj nie powoduje zauważalnych problemów. Ograniczenia stają się istotne wtedy, gdy użytkownik chce inicjować połączenie z internetu do urządzenia znajdującego się w domu.
CGNAT jak sprawdzić u operatora krok po kroku
Do wykonania podstawowego testu nie jest potrzebne dodatkowe oprogramowanie. Najważniejsze są dwa adresy – IPv4 widoczny na interfejsie WAN routera oraz publiczny IPv4 widoczny w internecie.
Krok 1. Sprawdź adres WAN routera
Zaloguj się do panelu administracyjnego routera. Jego adres jest zwykle podany na naklejce urządzenia lub w instrukcji producenta.
Następnie poszukaj sekcji określanej jako:
- WAN,
- Internet,
- Internet Status,
- Network Status,
- IPv4 Address,
- IP Address.
Interesuje Cię adres IPv4 przypisany do połączenia internetowego, a nie adres urządzenia w sieci LAN.
Przykładowo adres 192.168.1.1 może być adresem samego routera w sieci lokalnej. Nie jest to adres, którego potrzebujesz do tego testu.
Krok 2. Sprawdź publiczny adres IPv4
Następnie sprawdź, jaki adres IPv4 widzą serwery w internecie. Można wykorzystać serwis wyświetlający publiczny adres IP.
Test najlepiej wykonać na komputerze lub telefonie połączonym z badaną siecią Wi-Fi albo przewodowo z routerem. Nie korzystaj wtedy z VPN, ponieważ jego serwer może zmienić adres widoczny na zewnątrz.
Zapisz wyświetlony publiczny adres IPv4.
Krok 3. Porównaj oba adresy
Jeżeli adres WAN routera jest identyczny z publicznym IPv4, połączenie najprawdopodobniej nie znajduje się za klasycznym CGNAT operatora.
Jeśli adresy się różnią, trzeba przeprowadzić dalszą diagnostykę. Różnica może oznaczać CGNAT, ale może także wynikać z dodatkowego routera lub modemu znajdującego się przed Twoim urządzeniem.
Samo stwierdzenie, że oba adresy są różne, nie jest jeszcze stuprocentowym potwierdzeniem CGNAT.
Krok 4. Sprawdź, czy WAN znajduje się w zakresie 100.64.0.0/10
Dla sieci wykorzystujących współdzieloną przestrzeń adresową przeznaczono zakres:
100.64.0.0 – 100.127.255.255
Jeżeli router otrzymał na interfejsie WAN adres należący do tego zakresu, jest to bardzo wyraźny sygnał zastosowania mechanizmu operatorskiego NAT.
Zakres ten został przeznaczony właśnie do wykorzystania jako Shared Address Space między infrastrukturą operatora a urządzeniami klientów.
Krok 5. Sprawdź pozostałe adresy prywatne
Na interfejsie WAN możesz zobaczyć również adres z jednego z klasycznych zakresów prywatnych:
- 10.0.0.0 – 10.255.255.255,
- 172.16.0.0 – 172.31.255.255,
- 192.168.0.0 – 192.168.255.255.
Taki wynik oznacza, że przed routerem działa jeszcze urządzenie wykonujące translację adresów. Nie musi to jednak być CGNAT operatora.
Przykładowo własny router może być podłączony za modemem operatora pracującym również jako router. Wtedy powstaje podwójny NAT wewnątrz instalacji użytkownika.
Krok 6. Potwierdź konfigurację u operatora
Ostateczne potwierdzenie najlepiej uzyskać w obsłudze technicznej operatora.
Nie pytaj jedynie, czy masz „stałe IP”. To inne zagadnienie. Publiczny adres może być zarówno dynamiczny, jak i statyczny.
Najbardziej precyzyjne pytanie brzmi:
Czy moje połączenie IPv4 działa za CGNAT, czy otrzymuję bezpośrednio publiczny adres IPv4?
Taka forma pozwala uniknąć pomylenia publicznego IP z adresem stałym.
Czy prywatny adres WAN zawsze oznacza CGNAT
Nie. To jeden z najczęstszych błędów podczas samodzielnej diagnostyki.
Załóżmy, że użytkownik ma urządzenie operatora oraz własny router. Modem operatora pracuje w trybie routera i przydziela drugiemu urządzeniu adres 192.168.0.10. Własny router tworzy następnie kolejną sieć, na przykład 192.168.1.0/24.
W takiej konfiguracji występują dwie warstwy NAT, ale operator może nadal przydzielać swojemu modemowi normalny publiczny adres IPv4.
Rozwiązaniem może być wtedy odpowiednia konfiguracja urządzeń, przykładowo przełączenie urządzenia operatora w tryb bridge, jeśli jest dostępny i poprawnie obsługiwany.
Przed zmianą trybu pracy routera warto sprawdzić instrukcję i wymagania operatora. Nieprawidłowa konfiguracja może spowodować utratę połączenia z internetem lub działania dodatkowych usług.
Jak zapytać operatora o CGNAT
Kontakt z obsługą techniczną jest szczególnie ważny wtedy, gdy wynik testu nie jest jednoznaczny.
Warto zadać kilka konkretnych pytań:
- Czy moje łącze IPv4 korzysta z CGNAT?
- Czy mogę otrzymać publiczny adres IPv4?
- Czy publiczny IPv4 jest dynamiczny, czy statyczny?
- Czy zmiana wymaga dodatkowej opłaty?
- Czy publiczny adres jest dostępny w mojej obecnej ofercie?
- Czy po zmianie trzeba ponownie uruchomić lub skonfigurować router?
Warunki zależą od operatora i rodzaju łącza. Inaczej może wyglądać sytuacja w światłowodzie, internecie kablowym, radiowym czy sieci komórkowej.
Szczególnie w internecie mobilnym publiczny IPv4 może wymagać osobnej usługi lub odpowiedniej konfiguracji operatora.
Dlaczego przekierowanie portów nie działa przez CGNAT
Przekierowanie portów działa wtedy, gdy router kontrolujący publiczny adres IP może zdecydować, do którego urządzenia w sieci lokalnej przekazać przychodzące połączenie.
Przy CGNAT sytuacja wygląda inaczej. Użytkownik może ustawić przekierowanie na własnym routerze, ale wcześniej znajduje się kolejny NAT należący do operatora.
Nie masz dostępu do konfiguracji tego urządzenia. W rezultacie połączenie przychodzące z internetu nie musi w ogóle dotrzeć do domowego routera.
Dlatego samo włączenie DMZ, UPnP lub ręczne przekierowanie portu w routerze nie usuwa ograniczenia wynikającego z CGNAT operatora.
Problem może dotyczyć między innymi:
- serwera NAS,
- domowego serwera WWW,
- serwera gier,
- monitoringu IP,
- Home Assistant,
- zdalnego pulpitu,
- niektórych połączeń peer-to-peer.
Nie oznacza to, że wszystkie takie usługi przestaną działać. Część wykorzystuje serwery pośredniczące lub połączenia inicjowane od strony sieci domowej.
Co zrobić, jeśli operator stosuje CGNAT
Najlepsze rozwiązanie zależy od tego, do czego potrzebujesz połączeń przychodzących.
Poproś o publiczny adres IPv4
Jeżeli potrzebujesz klasycznego przekierowania portów, najprostszym rozwiązaniem jest publiczny adres IPv4 bez CGNAT.
Nie musi być statyczny. Dynamiczny publiczny IPv4 również umożliwia przekierowanie portów, chociaż jego zmiany mogą wymagać użycia usługi Dynamic DNS.
Operator może oferować publiczny adres w standardzie, jako opcję dodatkową albo tylko w określonych taryfach.
Sprawdź dostępność IPv6
CGNAT dotyczy współdzielenia adresów IPv4. Jeżeli operator zapewnia prawidłowo działające IPv6, urządzenie może otrzymać globalny adres IPv6.
Może to umożliwić dostęp z internetu bez klasycznego NAT-u IPv4. Nadal potrzebna jest jednak odpowiednia konfiguracja zapory sieciowej, a urządzenie łączące się zdalnie także musi obsługiwać IPv6.
IPv6 nie będzie więc automatycznym rozwiązaniem każdego problemu.
Skorzystaj z tunelu VPN
W przypadku zdalnego dostępu do własnego komputera, NAS-a lub serwera można zastosować tunel VPN zestawiany od wewnątrz sieci.
Takie rozwiązanie może działać bez bezpośredniego przekierowania portów na publicznym IPv4. Sposób konfiguracji zależy jednak od wybranego systemu VPN i urządzeń.
Do zdalnego zarządzania własną siecią jest to często lepsza opcja niż wystawianie wielu usług bezpośrednio do internetu.
CGNAT a publiczny i stały adres IP
Publiczny i stały adres IP to dwa różne pojęcia.
Publiczny IPv4 oznacza adres, który może być globalnie routowany w internecie. Może się jednak zmieniać po ponownym zestawieniu połączenia.
Statyczny IPv4 jest adresem przypisanym na stałe lub w sposób przewidywalny do konkretnego klienta. Zwykle jest również publiczny, jeśli operator sprzedaje go jako usługę umożliwiającą dostęp z internetu.
Do zwykłego przekierowania portów nie zawsze potrzebujesz adresu statycznego. Często wystarczy dynamiczny publiczny IPv4 oraz Dynamic DNS.
Dlatego podczas rozmowy z operatorem należy pytać najpierw o publiczny adres IPv4 bez CGNAT, a dopiero później o możliwość uzyskania adresu statycznego.
Najczęstsze błędy podczas sprawdzania CGNAT
Pierwszym błędem jest sprawdzanie adresu komputera zamiast WAN routera. Komputer w domu prawie zawsze będzie miał adres prywatny i nie świadczy to o CGNAT.
Drugim problemem jest wykonywanie testu przy włączonym VPN. Wtedy serwis sprawdzający IP zobaczy adres serwera VPN, a nie operatora.
Trzeci błąd to automatyczne uznanie każdego adresu 192.168.x.x lub 10.x.x.x na WAN za CGNAT. Może to być zwykły podwójny NAT wynikający z posiadania dwóch routerów.
Nie należy również traktować niedziałającego przekierowania portów jako ostatecznego dowodu. Przyczyną może być zapora routera, zapora systemowa, błędny port, niewłaściwy adres urządzenia lub brak działającej usługi po stronie serwera.
Kiedy publiczny IPv4 rzeczywiście jest potrzebny
Dla większości użytkowników CGNAT nie jest problemem. Strony internetowe, streaming, komunikatory, poczta czy zwykłe gry online mogą działać poprawnie.
Publiczne IPv4 staje się znacznie ważniejsze, gdy chcesz:
- udostępniać własny serwer,
- łączyć się bezpośrednio z NAS-em,
- uruchomić serwer gry,
- korzystać z określonych rozwiązań P2P,
- uzyskać bezpośredni dostęp do monitoringu,
- skonfigurować własny serwer VPN,
- korzystać z usług wymagających połączeń przychodzących IPv4.
W takich zastosowaniach sprawdzenie obecności CGNAT powinno być jednym z pierwszych etapów diagnostyki.
Jak najpewniej rozpoznać CGNAT
Najbardziej wiarygodny test składa się z kilku prostych elementów. Najpierw sprawdź IPv4 na interfejsie WAN routera. Następnie sprawdź publiczny adres widoczny w internecie i porównaj oba wyniki.
Adres WAN należący do zakresu 100.64.0.0 – 100.127.255.255 bardzo mocno wskazuje na zastosowanie współdzielonej przestrzeni adresowej używanej przez CGN.
Jeżeli adresy WAN i publiczny są różne, ale WAN pochodzi z zakresu prywatnego, sprawdź również, czy przed routerem nie działa inne urządzenie wykonujące NAT.
Na końcu skontaktuj się z operatorem i zapytaj wprost o CGNAT oraz możliwość uzyskania publicznego IPv4. To najprostszy sposób, aby odróżnić ograniczenie po stronie dostawcy internetu od błędnej konfiguracji własnej sieci.
