Guías · Redes básicas

¿Qué es el CGNAT, y por qué no puedo abrir puertos?

Escrito por Aldo · threat hunter en un blue team
Última actualización: 9 de noviembre de 2026 · 5 min de lectura

Configuras la redirección de puertos para un servidor de juegos, una cámara o un servidor casero, tal como decía el tutorial. Desde fuera no conecta nada. El router no está roto. Puede que tu conexión simplemente no tenga una dirección pública propia.

Qué es el CGNAT

No hay direcciones IPv4 suficientes para cada hogar y cada teléfono. Tu router ya resuelve esto dentro de casa: todos tus dispositivos comparten una dirección pública, y el router (con NAT, la traducción de direcciones de red) lleva la cuenta de a qué dispositivo pertenece cada conversación.

El CGNAT hace lo mismo un nivel más arriba. Los equipos de tu proveedor comparten una dirección pública entre muchos clientes, y tu router recibe en su lugar una dirección privada del proveedor. Las conexiones salientes funcionan con normalidad: navegar, ver series y llamar va bien. El problema son las conexiones entrantes. Cuando alguien de fuera se conecta a la dirección pública compartida, el NAT del proveedor no tiene ni idea de a cuál de sus clientes busca, así que descarta la conexión. Abrir puertos en tu router no puede cambiarlo, porque la conexión nunca llega a tu router.

Las redes móviles usan CGNAT casi en todas partes. Muchos proveedores de fibra y cable también, sobre todo los más nuevos y los que dan a sus clientes IPv6 nativo con el IPv4 tunelizado a través de una pasarela compartida (una configuración llamada DS-Lite).

Un ejemplo real: el rango de direcciones que lo delata

Los proveedores suelen numerar el lado de los clientes del CGNAT con un bloque reservado justo para eso, 100.64.0.0/10. Lo metimos en la calculadora de subredes de iplover:

De ahí la regla práctica: si la dirección de internet de tu router empieza por 100. y el segundo número está entre 64 y 127, casi seguro que estás detrás de CGNAT. Las direcciones de 100.0 a 100.63 y de 100.128 en adelante son públicas normales; solo ese bloque central es espacio compartido.

Comprueba tu conexión en dos minutos

1. Busca la dirección de internet de tu router. Abre la página de administración del router (a menudo 192.168.1.1 o 192.168.0.1; nuestra guía del router explica cómo encontrarla) y busca «WAN», «Internet» o «Estado de la conexión».
2. Busca tu dirección pública. Abre la página de inicio de iplover; la dirección grande de arriba es la que ve internet.
3. Compáralas.

Una segunda pista es la ruta de salida. En Windows ejecuta tracert -d 8.8.8.8; en macOS o Linux, traceroute -n 8.8.8.8. Si el salto justo después de tu router tiene una dirección entre 100.64 y 100.127, eso suele ser el NAT del proveedor. (Algunos proveedores usan ese rango dentro de su red por otros motivos, así que tómalo como un indicio, no como una prueba.)

Cómo sortearlo

UPnP y otras funciones parecidas que abren puertos automáticamente solo hablan con tu propio router, así que tampoco pueden atravesar el NAT de tu proveedor.

Qué significa el CGNAT para tu dirección

Detrás de CGNAT, la dirección pública que ven las webs la comparten otros clientes en ese mismo momento. Eso tiene efectos secundarios: el mal comportamiento de un cliente puede hacer que bloqueen o marquen la dirección compartida, las webs pueden mostrarte más captchas y la dirección de la página de inicio de iplover no es «tuya» en ningún sentido duradero. También significa que una dirección en el log de alguien no puede asociarse a un solo hogar sin los registros del proveedor sobre qué cliente usó qué puerto en qué segundo.