El problema
Si has probado a abrir un puerto en tu router y no funciona, hay una razón que probablemente no depende de ti: estás detrás de CGNAT. Significa que tu router no tiene una dirección pública propia, sino que comparte una con otros usuarios. Tu operador te asigna una dirección interna, y no hay forma de que el tráfico de Internet llegue hasta tu router sin que el operador lo reenvie.
Es el motivo por el que el juego online, la videoconferencia y el acceso remoto a tu casa fallan aunque tu configuración sea perfecta.
Qué es exactamente CGNAT
Tu conexión tiene dos partes:
- Red privada (LAN): la que crea tu router, con direcciones como 192.168.1.50. Es privada porque no se enruta en Internet.
- Red pública (WAN): la dirección que ve Internet. Con CGNAT, esta dirección no es tuya: es una dirección pública compartida entre cientos de clientes.
Si tu dirección WAN es del rango 100.64.0.0/10, casi seguro tienes CGNAT: ese bloque lo reservo el protocolo CGNAT y no aparece en Internet. Puedes verlo en la página de estado de tu router, en el campo WAN IP o IP pública.
Ese rango compartido está definido en el RFC 6598, y las direcciones privadas de la red de casa en el RFC 1918: si lo que tu router muestra como IP pública está dentro de 100.64.0.0/10, no tienes dirección pública aunque el equipo diga lo contrario.
Cómo saber si estás detrás de CGNAT
| Comprobación | Resultado | Interpretación |
|---|---|---|
| IP WAN del router empieza por 100.64-100.127 | Tienes CGNAT | Confirmado |
| La IP que ves online es distinta de la IP WAN | Tienes CGNAT | Confirmado |
| IP WAN coincide con tu IP pública y es privada 192.168 o 10.x | No tienes CGNAT pero el router es doble NAT | Mal configurado |
| IP WAN coincide con tu IP pública y es una IP real | No tienes CGNAT | Todo bien |
La forma más sencilla es comparar la dirección que muestra tu router con la que muestra una página de consulta de IP. Si no coinciden, tienes CGNAT.
En las ofertas de las principales operadoras españolas, CGNAT se aplica a:
- Movistar y O2: habitual en su oferta de fibra. Se puede evitar con la opción de IP pública, que en algunos casos tiene pago adicional.
- Orange: habitual en su fibra. La opción de IP pública es de pago.
- Digi: CGNAT extendido por defecto en sus conexiones de banda ancha.
- Vodafone: en su oferta de fibra, se ofrece IP pública con opción.
- Adamo y Masmovil/Yoigo: depende de la zona y del producto.
Las condiciones cambian con frecuencia, así que confirma con tu operadora antes de pagar. Puedes consultar tu caso en cambiar el router de la operadora y ver la config de acceso a Internet en configurar el router de fibra con PPPoE y VLAN.
Por qué es un problema
Con CGNAT, tu router está en una red privada y no acepta conexiones entrantes directas. Puedes abrir puertos en tu router, pero el operador nunca los reenvia porque no tienes una dirección pública a la que enviar el tráfico.
Esto afecta a:
| Servicio | Síntoma con CGNAT |
|---|---|
| Juego online | NAT tipo estricto, latencia alta |
| Videollamada entrante | A veces no te pueden llamar |
| Acceso remoto a tu casa | Imposible sin intermediario |
| Servidor en casa | No accesible desde Internet |
| Torrent | Cero conexiones entrantes |
La mayoría de servicios funcionan por salida sin problema. El problema es siempre la entrada.
Qué soluciones existen
1. Pedir IP pública a tu operadora
Es la solución más limpia. Tu operadora te da una dirección pública real y los puertos se abren con normalidad.
Ventajas: simple, sin mantenimiento. Inconveniente: tiene coste mensual y no todas las combinaciones lo ofrecen en todos los productos.
2. Servidores relays (rVPN)
Es lo que hace cualquier VPN con salida pública: el problema de fondo está explicado en la referencia de CG-NAT en Wikipedia y el uso por parte de los operadores españoles en RedesZone.
Si no puedes pagar la IP pública, hay intermediarios que te dan un servidor público y tú te conectas a él. El tráfico entre tu casa y ese servidor viaja cifrado, y desde fuera se ve la dirección del servidor.
Es lo que hacen las VPN de salida a Internet, pero también existen servicios específicos de red doméstica que funcionan como un túnel en sentido contrario.
3. IPv6, si tu operadora lo da
Muchas operadoras que aplican CGNAT en IPv4 siguen dando IPv6 nativo, que no tiene el problema del CGNAT. Si tu conexión tiene dirección IPv6 pública, puedes abrir puertos y ser accesible sin pagar nada.
Comprobación: mira en la página de estado de tu router si tienes dirección IPv6 global, que empieza por 2xxx o 3xxx. La dirección que empieza por fe80 o por fd/fc es local de enlace y no sirve.
4. Tailscale o WireGuard con nodo público
Si puedes tener un servidor pequeño (un VPS o una Raspberry accessible desde fuera) y montar un WireGuard, puedes escribirle a tu casa a traves del servidor. Es la solución más flexible y la que usan los que gestionan su domótica en serio.
Por qué no es un problema de seguridad
Conviene distinguir dos cosas:
- CGNAT no es una medida de seguridad. Es una decisión de arquitectura de red para ahorrar direcciones IPv4 públicas. No te protege de nada: si alguien consigue entrar en tu red local, CGNAT no lo evita.
- Abrir puertos no significa abrir la puerta de casa. Un puerto abierto en tu router solo acepta conexiones que tú has redirigido a un dispositivo concreto. Los demás puertos siguen cerrados.
así que abrir puertos para tu domótica es perfectamente razonable si el dispositivo está actualizado. El riesgo está en exponer servicios sin contraseña o sin actualizar, no en el puerto en si.
Configurar el router bajo CGNAT
Aunque no puedas abrir puertos entrantes, si puedes optimizar la red interna:
- Asigna IPs fijas a tus dispositivos importantes, para que no cambien y puedas hacer reglas de firewall por IP.
- Activa el firewall del router y bloquea el acceso desde la WAN a tu LAN.
- Desactiva la administración remota del router desde Internet.
- Separa la red de invitados de la red de dispositivos domóticos.
- Actualiza el firmware, que en CGNAT importa igual que en cualquier otra red.
Para la separación de redes, tienes red propia de domótica con VLAN. Para los puertos de la televisión o del teléfono, mira ont, hgu o router neutro.
Checklist rápido
- Comprueba si tu IP WAN empieza por 100.64-100.127.
- Compara tu IP WAN con tu IP pública.
- Pregunta a tu operadora por la opción de IP pública y su coste.
- Mira si tienes IPv6 nativo disponible.
- Si no puedes, considera un relay o un VPS con WireGuard.
- Protege la red local: IPs fijas, firewall, sin admin remota.
Fuentes y siguiente paso
Para saber qué tipo de conexión tienes y cómo configurarla, configurar el router de fibra con PPPoE y VLAN. Si lo que quieres es exponer tu domótica a Internet de forma controlada, el siguiente paso es red propia de domótica con VLAN. Y para lo básico de la red, contraseña WiFi, WPA3 y WPS.
Fuentes externas
- RFC 6598: Shared Address Space for Carrier-Grade NAT — el rango 100.64.0.0/10 del que habla el artículo.
- RFC 1918: direcciones privadas
- CG-NAT: referencia general — qué es y por qué impide abrir puertos.
- Qué operadores de España usan CG-NAT — contexto de mercado y protocolo PCP (revisado 2026-09-30).