Has abierto un puerto en el router, el servicio funciona dentro de casa y, aun así, desde fuera no entra nadie. Antes de culpar al firewall, conviene descartar una causa muy habitual en España: tu operador te ha puesto detrás de un CGNAT. En esta guía vemos qué es, cómo comprobarlo en dos minutos con tu propio router y qué puedes hacer si lo tienes.
Qué es el CGNAT
CGNAT significa Carrier-Grade NAT: el operador comparte una misma dirección IPv4 pública entre muchos clientes. Tu router no recibe una IP pública propia, sino una dirección intermedia, y es el equipo del operador el que traduce el tráfico hacia la IP pública compartida. Es una consecuencia de la escasez de direcciones IPv4 (la diferencia con IPv6 la explicamos en IPv4 e IPv6 en una conexión residencial).
Para navegar, ver vídeos o jugar online no notarás nada. El problema aparece cuando quieres que alguien entre en tu red: un servidor de juegos, Plex, una cámara, un NAS, Home Assistant o tu propia web.
Cómo saber si tienes CGNAT en dos minutos
- Entra en el panel de tu router (suele estar en 192.168.1.1 o 192.168.0.1) y busca la IP de la interfaz WAN o «Internet». Apúntala.
- Averigua tu IP pública con cualquier servicio que la muestre (busca «cuál es mi IP») o, desde la consola, con curl como explicamos en cómo saber tu IP pública desde la consola.
- Compara las dos:
- Si son iguales, tu router tiene IP pública propia y no hay CGNAT.
- Si son distintas, hay una traducción en medio: es CGNAT (o un segundo router en cascada, ver más abajo).
- Si la IP WAN empieza por 100.64 a 100.127, es el rango que se reserva precisamente para CGNAT: confirmado.
Si prefieres una guía por operador, tienes cómo saber si estás bajo CGNAT en Digi, MásMóvil o Yoigo.
Lo que parece CGNAT y no lo es
- Doble NAT en casa: si conectas un router tuyo detrás del que te dio el operador, el segundo verá una IP privada en la WAN aunque el primero tenga IP pública. Se arregla poniendo el router del operador en modo puente o abriendo los puertos en los dos.
- Firewall o puerto mal abierto: si las dos IP coinciden y sigue sin funcionar, el problema está en la redirección, en el firewall del equipo o en el propio servicio. Repasa cómo abrir puertos en el router.
Por qué un DDNS no basta si tienes CGNAT
Un DDNS (DNS dinámico) mantiene un nombre de dominio apuntando a tu IP pública aunque cambie. Con CGNAT, esa IP pública no es tuya: es la del operador, compartida con otros clientes, y nadie puede mandarte tráfico entrante a través de ella. El DDNS seguirá actualizando el registro, pero no habrá nada detrás que responda. Primero hay que resolver el CGNAT; el DDNS viene después.
Qué hacer si tienes CGNAT
- Pedir una IP pública a tu operador. Algunos operadores permiten salir del CGNAT si lo solicitas, a veces con un coste adicional o con condiciones. Consulta con el tuyo qué ofrece en tu tarifa.
- Usar IPv6. Si tu operador te da IPv6 pública, puedes publicar servicios por IPv6 sin NAT (hace falta que quien se conecta también tenga IPv6, y configurar bien el firewall del router).
- Un túnel saliente. Un túnel de Cloudflare conecta desde tu casa hacia fuera, así que no necesita puertos abiertos ni IP pública. Lo vemos aplicado en Home Assistant sin abrir puertos.
- Una VPN hacia un servidor con IP pública. Un VPS pequeño con IP pública puede hacer de punto de entrada, y tu casa se conecta a él. Para entrar en tu red local, mira WireGuard en Windows con IP dinámica.
- Cambiar de operador o de tarifa si necesitas servicios abiertos de forma permanente.
Dónde encaja SyncMyIP
SyncMyIP actualiza el registro DNS de tu dominio en Cloudflare cada vez que cambia tu IP pública. Es la pieza que necesitas cuando sí tienes IP pública propia pero cambia (lo habitual en una conexión doméstica), y no sirve para atravesar un CGNAT. Si ese es tu caso, empieza por qué es una IP pública dinámica y por cuándo basta un DDNS y cuándo necesitas IP fija. Puedes ver el cliente en la página principal.
Preguntas frecuentes
¿Cómo sé si estoy en CGNAT sin entrar al router?
Haz un traceroute hacia cualquier destino externo: si en los primeros saltos aparece una dirección 100.64.x.x a 100.127.x.x, hay CGNAT. La comprobación más fiable sigue siendo comparar la IP WAN del router con tu IP pública.
¿El CGNAT afecta a la velocidad o a la latencia?
En el uso normal no se nota. Lo que limita es la conectividad entrante: servidores, algunos juegos con conexión directa entre jugadores y el acceso remoto.
¿Se puede abrir puertos con CGNAT?
No de forma que funcione desde internet: el puerto se abre en tu router, pero el tráfico nunca llega hasta él. Hay que usar un túnel, una VPN, IPv6 o pedir una IP pública.
¿Tener IP dinámica es lo mismo que tener CGNAT?
No. Una IP dinámica es una IP pública propia que el operador cambia de vez en cuando; el CGNAT es compartir una IP pública con otros clientes. Puedes tener IP dinámica sin CGNAT, y entonces un DDNS resuelve el problema.