Gdy na łączu działa cgnat, czyli Carrier-Grade Network Address Translation, operator nie daje każdemu abonentowi osobnego publicznego IPv4, tylko współdzieli jeden adres między wielu użytkowników. Dla przeglądania sieci to zwykle nie problem, ale przy zdalnym dostępie, grach, kamerach, NAS-ach i serwerach domowych różnica wychodzi bardzo szybko. W tym artykule pokazuję, jak ten mechanizm działa, jak sprawdzić, czy dotyczy właśnie ciebie, i co zrobić, jeśli potrzebujesz większej kontroli nad ruchem przychodzącym.
Najważniejsze fakty o współdzieleniu adresów po stronie operatora
- CGNAT to translacja adresów realizowana po stronie operatora, a nie w twoim domowym routerze.
- IETF zarezerwowało dla tego celu zakres 100.64.0.0/10, czyli tzw. shared address space.
- Najmocniej odczuwają go usługi, które oczekują połączeń przychodzących: port forwarding, gry P2P, VoIP, kamera IP i serwery w domu.
- Samo DDNS, UPnP ani przekierowanie portu w routerze nie omija CGNAT-u.
- Najlepsze obejścia to publiczny IPv4, IPv6 albo tunel lub reverse proxy, zależnie od usługi.
Jak działa warstwa operatora i po co w ogóle powstała
Ja patrzę na CGNAT jak na dodatkową warstwę NAT wpiętą już po stronie operatora. Twój router i tak zwykle robi NAT dla sieci domowej, ale tutaj ta sama zasada działa jeszcze raz wyżej: kilku, kilkunastu albo nawet setki klientów wychodzą do internetu przez wspólną pulę adresów publicznych. W praktyce oznacza to NAT444, czyli domowy NAT, operatorowy NAT i dopiero publiczny internet.
Powód jest prozaiczny: IPv4 się skończyły. W IETF opisano dla tego celu zakres 100.64.0.0/10, który nie jest zwykłą siecią prywatną w stylu 192.168.0.0/16, tylko przestrzenią zarezerwowaną do współdzielenia adresów po stronie operatorów. To ważne rozróżnienie, bo w tej strefie adresy nie są routowane globalnie i mają sens tylko wewnątrz infrastruktury dostawcy.
| Mechanizm | Kto robi translację | Co widzi internet | Typowy efekt dla użytkownika |
|---|---|---|---|
| Domowy NAT | Router w domu | Jeden adres publiczny dla całej sieci lokalnej | Normalne korzystanie z internetu, ale z ograniczonym dostępem do urządzeń w LAN |
| CGNAT | Sieć operatora | Jeden adres publiczny współdzielony przez wielu abonentów | Trudniejszy lub niemożliwy dostęp przychodzący z zewnątrz |
| IPv6 bez NAT | Najczęściej brak translacji adresów | Globalnie routowalne adresy IPv6 | Dużo łatwiejsza łączność przychodząca, jeśli firewall jest poprawnie ustawiony |
To właśnie ta dodatkowa warstwa robi różnicę: ruch wychodzący działa bez większych problemów, ale połączenie inicjowane z zewnątrz nie ma już gdzie wrócić. Dlatego pierwsze pytanie brzmi nie „czy internet działa”, tylko „czy ktoś z zewnątrz może się do mnie dostać”.
Jak rozpoznać, że twoje łącze jest za CGNAT-em
Ja zaczynam od dwóch miejsc: panelu routera i porównania z adresem widocznym na zewnątrz. Jeśli WAN w routerze pokazuje 100.64.x.x albo inny adres prywatny, a serwis sprawdzający IP pokazuje coś zupełnie innego, to bardzo mocny sygnał, że po drodze stoi kolejna translacja. Cloudflare zwraca uwagę, że podobny trop daje traceroute do własnego publicznego IP, zwłaszcza gdy między domowym routerem a adresem publicznym pojawia się 100.64.0.0/10.
| Sygnał | Co zwykle oznacza | Na ile to pewne |
|---|---|---|
| WAN routera zaczyna się od 100.64-100.127 | Bardzo prawdopodobny CGNAT | Wysokie |
| WAN routera ma adres z zakresu 10.x.x.x, 172.16-31.x.x lub 192.168.x.x | Jesteś za kolejną warstwą NAT, która może być u operatora albo u pośrednika | Wysokie |
| Adres publiczny z routera różni się od tego, który widzą strony typu „what is my IP” | Jest dodatkowa translacja po drodze | Wysokie |
| Przekierowanie portu w routerze nic nie zmienia, choć konfiguracja wygląda poprawnie | Problem może leżeć poza twoim sprzętem | Średnie |
| Traceroute pokazuje 100.64.0.0/10 między lokalnym routerem a adresem publicznym | Mocny ślad CGNAT-u lub innej warstwy współdzielenia adresów | Wysokie |
Jeśli chcesz sprawdzić to dokładniej, zrób traceroute lub tracert do własnego publicznego adresu, ale miej świadomość, że część urządzeń filtruje odpowiedzi i test nie zawsze pokaże pełną drogę. W praktyce najlepiej traktować go jako mocny trop, a nie absolutny dowód. Gdy już wiesz, że naprawdę siedzisz za warstwą operatora, łatwiej ocenić, które usługi ucierpią najbardziej.
Co w praktyce przestaje działać najlepiej
Nie demonizowałbym CGNAT-u. Przeglądanie stron, streaming, poczta, komunikatory i większość usług chmurowych działają normalnie, bo inicjują połączenie na zewnątrz. Problem zaczyna się wtedy, gdy ktoś z internetu ma wejść do ciebie. W testach opisanych w RFC 7021 kłopoty dotyczyły między innymi streamingu wideo, gier online, P2P, SIP, FTP i części wideorozmów.
Największa różnica między „działa” a „działa sensownie” pojawia się przy połączeniach przychodzących. Samo przekierowanie portu w routerze nie wystarczy, jeśli operator już wcześniej translatuje twój ruch.
| Usługa lub scenariusz | Typowy objaw | Dlaczego to boli |
|---|---|---|
| Serwer domowy, NAS, kamera IP | Brak dostępu z zewnątrz albo niestabilny dostęp | Potrzebujesz stałego punktu wejścia z internetu |
| Gry P2P i część matchmakingu | Problemy z NAT Type, hostowaniem i dołączaniem do sesji | Mechanika gry liczy na połączenie bezpośrednie między graczami |
| VoIP i SIP | Rozmowy nie dochodzą, dźwięk urywa się albo działa tylko w jedną stronę | To protokoły wrażliwe na translację portów i stan sesji |
| VPN do domu | Klient łączy się, ale nie wchodzi do sieci lokalnej | Serwer VPN w domu musi być osiągalny z internetu |
| P2P, seedowanie, usługi typu torrent | Słaby upload, brak połączeń od innych peerów | Sieć oczekuje połączeń z obu stron |
| Zdalny pulpit i administrowanie | Nie da się wejść do domu z pracy lub z telefonu | Brakuje publicznego wejścia na odpowiedni port |
Warto też zapamiętać jedną rzecz, którą często się myli: UPnP i DDNS pomagają tylko wtedy, gdy masz publiczny adres po stronie operatora. DDNS porządkuje nazwę hosta, ale nie wyczaruje routowalnego IPv4, a UPnP nie otworzy portu w sieci, której nie kontrolujesz. Na tym tle najważniejsze staje się pytanie, jakie masz realne wyjścia.
Jakie masz wyjścia, gdy potrzebujesz publicznego adresu
Tu nie ma jednego uniwersalnego rozwiązania. Ja dobieram obejście do tego, co naprawdę chcesz wystawić na świat, bo inne podejście ma sens dla kamery, inne dla domowego serwera plików, a jeszcze inne dla własnego VPN-u.
| Opcja | Co daje | Ograniczenia | Kiedy ma sens |
|---|---|---|---|
| Publiczny dynamiczny IPv4 | Normalny dostęp przychodzący i klasyczne przekierowanie portów | Adres może się zmieniać, a usługa bywa dodatkowo płatna albo niedostępna | Domowy serwer, kamera IP, własny VPN, proste usługi zdalne |
| Publiczny statyczny IPv4 | Stały adres i prostsze reguły dostępu | Zwykle droższy i częściej oferowany w wyższych planach | Whitelisting, firma, zdalna administracja, środowiska produkcyjne |
| IPv6 | Globalnie routowalny adres bez klasycznego NAT-u | Obie strony muszą mieć IPv6, a firewall nadal musi być dobrze ustawiony | Nowoczesne łącza, własne usługi, stopniowe odchodzenie od IPv4 |
| Tunel wychodzący lub reverse proxy | Wystawiasz usługę bez publicznego IPv4 po swojej stronie | Nie działa dla każdego protokołu i zależy od pośrednika | Panel WWW, SSH, zdalny dostęp do pojedynczej aplikacji |
| VPS jako brama | Stabilny publiczny punkt wejścia z pełną kontrolą | Więcej administracji i dodatkowa infrastruktura | Gdy potrzebujesz wielu usług i chcesz je spiąć w jednym miejscu |
Najczęstszy błąd jest banalny: ktoś kupuje DDNS, ustawia UPnP i oczekuje, że to przebije CGNAT. To nie zadziała. Jeśli operator nie daje publicznego IPv4, często szybciej wychodzi tunel lub IPv6 niż walka z routerem przez kilka wieczorów. Gdy patrzę szerzej, właśnie tu zaczyna się rozmowa o przyszłości całej infrastruktury.
Dlaczego IPv6 jest realnym wyjściem, a nie tylko hasłem z prezentacji
W długim terminie to IPv6 rozwiązuje presję na oszczędzanie adresów. Nie oznacza to jednak, że CGNAT znika od razu, bo operatorzy przez lata będą mieszać modele: część sieci działa w dual-stack, część korzysta z DS-Lite, a część nadal trzyma ruch IPv4 za współdzielonym adresem. DS-Lite pomaga operatorowi, ale z punktu widzenia użytkownika nie usuwa wszystkich ograniczeń starego IPv4.
W praktyce samo hasło „mamy IPv6” nie wystarcza. Liczy się to, czy router dostaje globalny adres lub prefiks, czy można sensownie ustawić zaporę i czy usługa, którą chcesz wystawić, naprawdę potrafi działać po IPv6. IPv6 nie oznacza otwartego internetu, tylko mniej sztucznych ograniczeń adresowych. Zapora nadal decyduje o tym, kto może wejść do twojej sieci.
- Sprawdź, czy router dostaje publiczny adres IPv6, a nie tylko komunikat o „wsparciu IPv6”.
- Sprawdź, czy dostajesz delegowany prefiks, jeśli masz więcej niż jedno urządzenie w sieci.
- Upewnij się, że reguły firewalla da się ustawić świadomie, a nie tylko automatycznie.
- Zweryfikuj, czy usługi, z których korzystasz, mają sensowną obsługę IPv6 po obu stronach połączenia.
Dopiero po tych czterech punktach widać, czy IPv6 jest u ciebie pełnym rozwiązaniem, czy tylko dodatkiem do starego świata IPv4. To prowadzi do ostatniej, najbardziej praktycznej części: kiedy naprawdę trzeba reagować, a kiedy lepiej po prostu zostawić temat w spokoju.
Kiedy nie warto walczyć z CGNAT-em, a kiedy trzeba reagować
Ja dzielę sytuacje na dwie grupy. Jeśli korzystasz głównie z przeglądarki, streamingu, komunikatorów i usług SaaS, wspólny adres zwykle nie będzie problemem. Jeśli natomiast chcesz wystawić własne usługi, mieć dostęp do domu z zewnątrz, uruchamiać gry P2P albo korzystać z aplikacji, które wymagają wejścia z internetu, wtedy CGNAT staje się realnym ograniczeniem, a nie tylko techniczną ciekawostką.
- Jeśli potrzebujesz tylko zwykłego internetu, niczego nie musisz zmieniać.
- Jeśli potrzebujesz zdalnego dostępu do domu, sprawdź publiczny IPv4 albo IPv6 z poprawną zaporą.
- Jeśli operator oferuje tylko współdzielony adres, wybierz tunel, reverse proxy albo VPS jako bramę dla konkretnych usług.
- Jeśli podpisujesz nową umowę, zapytaj wprost o publiczny IPv4, statyczny adres, IPv6 i możliwość przekierowania portów.
- Jeśli dostawca oferuje tylko współdzielony adres, oceń to od razu, a nie dopiero po instalacji kamery, NAS-a albo serwera gry.
W praktyce nie chodzi o to, by za wszelką cenę walczyć z CGNAT-em. Chodzi o to, by wiedzieć, kiedy jest niewidoczny, a kiedy staje się wąskim gardłem twojej sieci, i dobrać rozwiązanie do realnego scenariusza, a nie do marketingowego opisu oferty.
