Guide · Basi di rete

Cos'è il CGNAT, e perché non riesco ad aprire le porte?

Scritto da Aldo · threat hunter in un blue team
Ultimo aggiornamento: 9 novembre 2026 · 4 min di lettura

Hai configurato il port forwarding per un server di gioco, una telecamera o un server di casa, esattamente come diceva la guida. Da fuori non si collega niente. Il router non è rotto. Può darsi semplicemente che la tua connessione non abbia un indirizzo pubblico tutto suo.

Cos'è il CGNAT

Gli indirizzi IPv4 non bastano per ogni casa e ogni telefono. Dentro casa il tuo router risolve già il problema: tutti i tuoi dispositivi condividono un indirizzo pubblico, e il router (con il NAT, network address translation) tiene traccia di quale dispositivo sta facendo ogni conversazione.

Il CGNAT fa la stessa cosa un livello più su. Le apparecchiature del provider condividono un indirizzo pubblico tra molti clienti, e il tuo router riceve invece un indirizzo privato dal provider. Le connessioni in uscita funzionano normalmente: navigazione, streaming e chiamate vanno bene. Il problema sono quelle in entrata. Quando qualcuno da fuori si collega all'indirizzo pubblico condiviso, il NAT del provider non ha idea di quale cliente cerchi, quindi scarta la connessione. Il port forwarding sul tuo router non può cambiare le cose, perché la connessione non arriva mai al tuo router.

Le reti mobili usano il CGNAT quasi ovunque. Lo usano anche molti provider in fibra e via cavo, soprattutto i più nuovi e quelli che danno ai clienti IPv6 nativo con l'IPv4 incapsulato attraverso un gateway condiviso (una configurazione chiamata DS-Lite).

Un esempio concreto: l'intervallo di indirizzi che ti tradisce

I provider di solito numerano il lato clienti del CGNAT da un blocco riservato proprio a questo, 100.64.0.0/10. L'abbiamo inserito nel calcolatore di subnet di iplover:

Quindi la regola pratica: se l'indirizzo internet del tuo router inizia con 100. e il secondo numero è tra 64 e 127, sei quasi certamente dietro un CGNAT. Gli indirizzi da 100.0 a 100.63 e da 100.128 in su sono normali indirizzi pubblici; solo quel blocco centrale è spazio condiviso.

Controlla la tua connessione in due minuti

1. Trova l'indirizzo internet del tuo router. Apri la pagina di amministrazione del modem (spesso 192.168.1.1 o 192.168.0.1 sui modem di TIM, Vodafone o Fastweb; la nostra guida al router spiega come trovarla) e cerca “WAN”, “Internet” o “Stato della connessione”.
2. Trova il tuo indirizzo pubblico. Apri la homepage di iplover; il grande indirizzo in alto è ciò che vede internet.
3. Confrontali.

Un secondo indizio è il percorso verso l'esterno. Su Windows lancia tracert -d 8.8.8.8, su macOS o Linux traceroute -n 8.8.8.8. Se il passaggio subito dopo il router ha un indirizzo tra 100.64 e 100.127, di solito è il NAT del provider. (Alcuni provider usano quell'intervallo all'interno della propria rete per altri motivi, quindi consideralo un indizio, non una prova.)

Come aggirarlo

UPnP e le funzioni simili che aprono le porte in automatico parlano solo con il tuo router, quindi non possono attraversare nemmeno loro il NAT del provider.

Cosa significa il CGNAT per il tuo indirizzo

Dietro un CGNAT, l'indirizzo pubblico che vedono i siti è condiviso in quel momento con altri clienti. Ha effetti collaterali: il comportamento scorretto di un cliente può far bloccare o segnalare l'indirizzo condiviso, i siti possono mostrarti più captcha, e l'indirizzo sulla homepage di iplover non è “tuo” in modo duraturo. Significa anche che un indirizzo nel log di qualcuno non può essere collegato a una singola famiglia senza i registri del provider su quale cliente ha usato quale porta in quale secondo.