Что такое CGNAT?
NAT оператора (carrier-grade NAT) — это разделение адресов, которое выполняет ваш интернет-провайдер, а не ваш роутер: тысячи абонентов за горсткой публичных IPv4-адресов. Именно из-за него проброс портов иногда не работает, что бы вы ни делали, и именно поэтому роутер показывает не тот адрес, что этот сайт.
В этой статье
Как работает CGNAT
Ваш роутер получает от провайдера частный адрес — обычно из 100.64.0.0/10, диапазона, зарезервированного именно для этого, — вместо публичного, а транслятор провайдера отображает соединения всех его абонентов на общий пул публичных адресов. Исходящие соединения работают ровно как раньше; разница в том, что слоёв трансляции два (ваш и провайдера) и что публичный адрес принадлежит пулу провайдера, а не вам. Провайдеры делают так, потому что IPv4-адреса исчерпаны и дороги; мобильные сети всегда работали так, а проводные провайдеры перешли на это за последнее десятилетие. Однослойный вариант описан в статье что такое NAT.
Проверить сейчас
Край сети CloudflareСчитано на краю сети Cloudflare из этого запроса. На главной странице добавятся ваш провайдер, тип сети и проверки VPN, DNS и WebRTC.
ПодробнееКак проверить, что вы за CGNAT
Сравните WAN-адрес на странице состояния роутера с адресом на нашей главной странице. Если они различаются или WAN-адрес лежит в 100.64.0.0–100.127.255.255 (или в любом частном диапазоне), вы за CGNAT. Проверка CGNAT проведёт по шагам; другой симптом — все порты фильтруются в проверке портов независимо от проброса.
Какие проблемы создаёт CGNAT
Входящие соединения не могут до вас дойти: проброс портов, хостинг игры или сервера, удалённый доступ к NAS или камерам, некоторые P2P-приложения и схемы VoIP не работают; игры показывают строгий NAT. Ваш публичный адрес общий: злоупотребления другого абонента могут завести его в чёрные списки, капчи появляются чаще, а сайты, ограничивающие действия на адрес, считают вас всех вместе. Логи и списки разрешений по вашему адресу ненадёжны, потому что он может меняться при каждой смене отображения у провайдера.
Как выбраться из-за CGNAT
Попросите у провайдера публичный IPv4-адрес; многие дают его по запросу или за небольшую ежемесячную плату, а бизнес-тарифы включают его. Используйте IPv6: провайдеры с CGNAT почти всегда выдают настоящий префикс IPv6, и всё, что поддерживает IPv6 (большинство игр, консолей, инструментов удалённого доступа), становится доступным без проброса — проверьте тестом IPv6. Иначе используйте VPN-сервис с пробросом портов, туннельного брокера или сервис обратного туннеля для конкретного приложения, которое нужно открыть наружу.
Вопросы
Что такое CGNAT и чем он плох?
Разделение адресов на уровне провайдера. Для обычного сёрфинга он не плох; он ломает всё, чему нужны входящие соединения, и делает ваш публичный адрес общим с незнакомцами.
Как понять, что я за CGNAT?
Если WAN-адрес роутера отличается от адреса на нашей главной странице или лежит в 100.64.0.0/10, вы за CGNAT. Проверка CGNAT объясняет, как их сравнить.
Нужно ли включать или выключать CGNAT?
Это не настройка на вашей стороне; решает провайдер. Что вы можете — запросить публичный адрес или использовать IPv6.
Какие операторы используют CGNAT?
Практически все мобильные операторы и большая, растущая доля проводных провайдеров — особенно новые операторы оптики и кабеля и те, что в регионах, получивших мало IPv4-адресов. Спросите своего напрямую или проверьте описанным выше способом.
Можно ли обойти CGNAT?
Не в обход, а насквозь: публичный адрес от провайдера, IPv6 либо VPN или туннельный сервис, дающий достижимый адрес.
Какой провайдер не использует CGNAT?
Провайдеры, которые по-прежнему назначают каждому абоненту публичный IPv4-адрес, — как правило, старые крупные операторы и бизнес-тарифы. Это меняется от региона к региону и со временем; спросите до подписания договора и уточните, можно ли добавить публичный адрес позже.