CGNAT e IP pubblico: perché il router non è raggiungibile?
Una connessione può navigare normalmente e non accettare connessioni in ingresso. Il motivo può essere il CGNAT dell'operatore, un doppio NAT oppure un firewall. Prima di aprire porte, devi capire quale indirizzo WAN riceve davvero il router.
Che cosa cambia tra gli indirizzi
| Indirizzo | Uso tipico | Raggiungibile da Internet? |
|---|---|---|
| Privato | Rete interna del router, per esempio 192.168.x.x o 10.x.x.x. | No, non direttamente. |
| CGNAT | Indirizzo condiviso tra più clienti dell'operatore. | In genere no, perché il router non controlla il NAT a monte. |
| Pubblico IPv4 | Indirizzo assegnato sulla connessione WAN. | Possibile, se firewall e port forwarding sono configurati. |
| IPv6 globale | Indirizzo IPv6 instradabile, con regole firewall dedicate. | Possibile, ma non equivale automaticamente a porte aperte. |
Gli intervalli IPv4 privati sono definiti da RFC 1918. Il blocco 100.64.0.0/10 è invece riservato agli indirizzi condivisi tra operatore e clienti dal RFC 6598, spesso usato per il CGNAT.
Come capire se sei dietro CGNAT
- Apri l'interfaccia del router e annota l'indirizzo IPv4 della WAN. Non confonderlo con l'IP LAN del router.
- Da un dispositivo della stessa connessione, consulta un servizio che mostra l'IP pubblico. Usa il valore solo per il confronto e non inserirlo in pagine pubbliche.
- Se l'indirizzo WAN è privato, oppure è nel blocco 100.64.0.0/10, mentre l'IP esterno è diverso, c'è un NAT a monte compatibile con CGNAT o doppio NAT.
- Se i valori sembrano coincidere, resta da verificare il firewall, il port forwarding, il servizio in ascolto e l'eventuale filtro dell'operatore.
La schermata del router è l'indizio più utile, ma i nomi cambiano tra modelli. Alcuni router mostrano un nome DNS o un IPv6 invece dell'IPv4, altri nascondono l'indirizzo reale in una pagina avanzata.
Che cosa puoi fare
- Chiedere un IPv4 pubblico: alcuni operatori lo offrono su richiesta o con un'opzione dedicata. Verifica costi, condizioni e se l'indirizzo è dinamico.
- Usare IPv6: se operatore e router lo supportano, configura il firewall IPv6 e verifica che il dispositivo remoto abbia connettività IPv6. Non aprire porte indiscriminatamente.
- Usare una VPN con connessioni in uscita: una rete mesh o un relay può collegare i dispositivi senza esporre porte sul router. La scelta dipende dalla fiducia nel servizio e dal caso d'uso.
- Eliminare il doppio NAT: se hai modem e router separati, valuta bridge mode o access point mode solo quando il modello e il contratto lo consentono.
CGNAT non significa connessione peggiore
CGNAT può essere compatibile con velocità, latenza e stabilità buone per la navigazione. Il limite riguarda soprattutto le connessioni iniziate dall'esterno. Non usarlo per spiegare automaticamente ping alto, perdita di pacchetti o bufferbloat: sono fenomeni diversi e vanno misurati separatamente.
Per videochiamate, streaming e download il traffico parte normalmente dal dispositivo verso Internet. Per telecamere, server domestici, desktop remoto o alcune VPN serve invece capire come verrà instaurata la connessione.
Checklist prima di modificare il router
- Hai annotato WAN, LAN e IP pubblico senza pubblicarli?
- Hai escluso un secondo router, un hotspot o un modem in cascata?
- Il servizio che vuoi raggiungere ascolta davvero sulla porta corretta?
- Hai configurato il firewall oltre al port forwarding?
- Hai verificato se l'operatore filtra porte, usa CGNAT o supporta IPv6?
Quale SIM fa per te? Stima in un minuto quanti giga ti servono, poi confronta le offerte che bastano, ordinate per costo vero.
Un indirizzo visto da un sito web non prova da solo che il router sia raggiungibile. Confrontalo con l'indirizzo WAN mostrato dal router e verifica il tipo di indirizzo. Non pubblicare mai l'IP nei test o negli screenshot.
Fonti
- RFC 1918, indirizzi IPv4 privati.
- RFC 6598, spazio IPv4 condiviso tra operatore e cliente.
- RFC 8200, specifica IPv6.
- Fonti e metodo del sito, per distinguere definizioni, misure e limiti.