Qué es el CGNAT y cómo saber si tu operador lo usa
Si tu DNS dinámico se actualiza correctamente pero nadie puede llegar a tu casa desde internet, probablemente tienes CGNAT. Esta guía explica qué es, cómo detectarlo y qué opciones tienes.
Qué es el CGNAT
CGNAT son las siglas de Carrier-Grade NAT (NAT a nivel de operador). En vez de asignarte una IP pública propia, tu operador comparte una sola IP pública entre decenas o cientos de clientes a la vez, haciendo NAT en sus propios equipos antes de que el tráfico llegue a tu router.
El resultado es que tu router recibe una IP privada del operador — normalmente del rango 100.64.0.0/10, reservado específicamente para CGNAT, aunque también pueden aparecer rangos como 10.x.x.x.
Las conexiones salientes funcionan con normalidad (navegación, videollamadas, streaming). Las conexiones entrantes, en cambio, son imposibles sin configuración adicional: nadie de fuera puede llegar hasta tu router porque no tiene una IP pública propia a la que conectarse.
Cómo saber si tienes CGNAT
El método más directo es comparar dos IPs:
- La IP que ve internet: entra en dyn-dns.es/mi-ip — te muestra la IP pública desde la que sales al exterior.
- La IP WAN de tu router: accede al panel de administración de tu router (normalmente
192.168.1.1o192.168.0.1) y busca la sección WAN o Internet.
Interpreta el resultado:
- Las dos IPs coinciden → tienes IP pública directa. El DDNS funciona para conexiones entrantes.
- La IP WAN empieza por
100.64,10.,172.16–31o192.168→ estás detrás de CGNAT (o doble NAT). Las conexiones entrantes quedan bloqueadas en el operador antes de llegar a tu casa.
CGNAT y DNS dinámico
Un subdominio DDNS como micasa.dyn-dns.es seguirá actualizándose correctamente aunque tengas CGNAT — lo que cambia es para qué sirve:
- Sin CGNAT: el subdominio apunta a tu IP pública real → puedes acceder a tu NAS, cámara o servidor desde cualquier sitio.
- Con CGNAT: el subdominio apunta a la IP compartida del operador → el tráfico entrante no llega a tu casa.
El certificado SSL sin dominio propio sí funciona con CGNAT porque la validación DNS-01 no necesita ningún puerto abierto.
Qué puedes hacer si tienes CGNAT
- Pedir IP pública a tu operador: muchos operadores españoles la ofrecen gratis o por un pequeño coste mensual. Llama o abre un ticket indicando que necesitas acceso remoto — a menudo lo activan sin coste adicional.
- VPN como Tailscale o WireGuard: crean un túnel cifrado entre tus dispositivos sin depender de puertos abiertos. La IP sigue siendo privada, pero el acceso remoto funciona igualmente.
- Servidor de salto (VPS): un VPS barato con IP pública actúa de intermediario — tu servidor casero abre un túnel hacia el VPS, y el tráfico entra por ahí.
Preguntas frecuentes
¿Qué rangos de IP indican CGNAT o doble NAT?
El rango oficial de CGNAT es 100.64.0.0/10 (de 100.64.0.0 a 100.127.255.255). Si ves 10.x.x.x, 172.16.x.x–172.31.x.x o 192.168.x.x en la WAN de tu router, también estás detrás de un NAT — puede ser del operador o de otro router intermedio.
¿Puedo pedir al operador que me quite el CGNAT?
Depende del operador. Movistar, Orange y Vodafone suelen asignar IP pública por defecto en fibra. Algunos operadores móviles y de menor tamaño usan CGNAT para ahorrar en el pool de IPs públicas. Lo mejor es llamar al soporte técnico e indicar que necesitas IP pública para acceso remoto — a menudo lo activan sin coste adicional o por unos pocos euros al mes.
¿Funciona dyn-dns.es si tengo CGNAT?
El servicio de DNS dinámico y el certificado SSL funcionan con normalidad. Lo que no funciona son las conexiones entrantes desde internet a tu red local — eso depende de tu operador, no de dyn-dns.es.
¿El CGNAT afecta a la velocidad o latencia?
No de forma apreciable para el uso habitual. El CGNAT añade un nivel extra de NAT en los equipos del operador, pero el impacto en latencia es despreciable. El único impacto real es en la imposibilidad de recibir conexiones entrantes.