Что такое CGNAT и почему из-за него не работают порты, камеры и часть игр

Что такое CGNAT простыми словами

CGNAT — это Carrier-Grade NAT, то есть крупный NAT на стороне провайдера. Смысл простой: вместо того чтобы выдавать каждому абоненту отдельный внешний IPv4-адрес, оператор использует один адрес сразу для многих клиентов.

Дома у вас может быть свой роутер с обычным NAT, а поверх него работает еще один уровень преобразования адресов уже у провайдера. В итоге интернет у вас есть, сайты открываются, видео работает, мессенджеры тоже. Но вот входящие подключения из интернета до вашей сети не доходят напрямую.

На практике это выглядит так: вы настраиваете проброс порта на роутере, всё делаете правильно, а снаружи нужный порт всё равно недоступен. Причина не в роутере как таковом, а в том, что до вашего устройства трафик не может добраться через общий адрес провайдера.

Почему из-за CGNAT не работают порты, камеры и часть игр

Обычный проброс портов работает только тогда, когда у вас есть собственный внешний IP-адрес, по которому можно обратиться к вашему роутеру из интернета. При CGNAT внешний адрес принадлежит не лично вам, а используется вместе с другими абонентами.

Из-за этого возникают типичные проблемы:

• не работает проброс портов на роутере;
• IP-камеры и видеорегистраторы не открываются напрямую извне;
• не поднимается домашний сервер, NAS или удаленный рабочий стол;
• торренты могут работать хуже из-за ограниченных входящих соединений;
• в играх бывает строгий NAT, проблемы с хостингом сессии, голосовым чатом или P2P-подключением;
• VPN-сервер дома не принимает входящие подключения.

Важно понимать: CGNAT не обязательно ломает весь интернет. Он в первую очередь мешает тому, что требует входящего доступа к вашей сети.

Какие признаки чаще всего указывают на CGNAT

Обычно проблема выглядит так: интернет работает нормально, но всё, что связано с доступом извне к вам, упирается в стену.

Порты не открываются даже после правильной настройки

Вы включили проброс, отключили лишние фильтры, указали локальный IP устройства, но результата нет. Это один из самых частых признаков.

Камера или регистратор работают только через облако

Если устройство подключается через фирменный облачный сервис, картинка есть. А вот прямой доступ по адресу и порту — нет. Часто причина именно в схеме адресации у провайдера.

В играх проблемы с NAT или соединением с другими игроками

Не все игры чувствительны к CGNAT одинаково. Но там, где используется P2P, хостинг матча или сложная голосовая связь, ограничения проявляются заметнее.

Сервер, NAS или удаленный доступ из интернета не работают

Внутри дома всё открывается, а с мобильного интернета или из другой сети — нет. Это очень характерная картина.

Как проверить, есть ли у вас CGNAT

Сначала стоит проверить простое: какой WAN IP получает ваш роутер, и совпадает ли он с тем адресом, под которым вас видит интернет.

1. Зайдите в веб-интерфейс роутера и найдите WAN IP или Internet IP.
2. Сравните этот адрес с внешним IP, который показывают интернет-сервисы определения адреса.
3. Если адреса не совпадают, это сильный признак CGNAT.
4. Отдельно проверьте, не получает ли роутер адрес из частных диапазонов: 10.x.x.x, 172.16.x.x–172.31.x.x, 192.168.x.x.
5. Обратите внимание и на диапазон 100.64.0.0–100.127.255.255. Он часто используется именно для CGNAT.
6. Если роутер показывает такой адрес, а не реальный внешний IPv4, обычный проброс портов, скорее всего, работать не будет.

Иногда провайдер выдает внешний адрес динамически, и это нормально. Важен не факт динамики сам по себе, а то, является ли адрес действительно вашим внешним IPv4, доступным из интернета.

Что обычно не помогает

Есть несколько популярных действий, которые выглядят логично, но при CGNAT часто бесполезны.

• Бесконечно перепроверять проброс портов на роутере, если у вас нет собственного внешнего IPv4.
• Отключать брандмауэр наугад, не понимая, где именно рвется соединение.
• Менять роутер в надежде, что новый magically откроет порт через сеть провайдера.
• Сбрасывать настройки всей домашней сети без подтверждения, что проблема вообще локальная.

Если смотреть трезво, хороший роутер важен, но он не может пробросить трафик через NAT провайдера, если у вас нет собственного внешнего адреса.

Как решить проблему

Решение зависит от того, что именно вам нужно: стабильный доступ к камере, запуск игрового сервера, удаленный доступ к ПК или просто нормальный NAT в играх.

1. Заказать у провайдера белый IPv4

Это самый прямой и обычно самый удобный вариант. Белый IP может быть статическим или динамическим — для проброса портов чаще всего подойдет оба варианта, если адрес действительно внешний.

Перед подключением услуги уточните у провайдера два момента:

• адрес будет именно внешним IPv4, а не внутренним;
• разрешены ли входящие подключения и нет ли фильтрации нужных портов.

2. Использовать IPv6, если он реально доступен

Иногда провайдер дает IPv6, и тогда часть задач можно решить без классического IPv4-проброса. Но это работает не всегда: важно, чтобы устройство, роутер и сервис умели нормально работать по IPv6, а удаленная сторона тоже его поддерживала.

Для домашних камер, старых устройств и некоторых приложений этот путь подходит не всегда.

3. Поднять доступ через VPN или туннель

Это рабочий вариант, когда белый IPv4 получить нельзя или не хочется. Суть в том, что ваше устройство само устанавливает исходящее соединение к внешнему узлу, а доступ организуется уже через этот канал.

Такой подход часто используют для:

• удаленного доступа к домашнему ПК;
• подключения к NAS;
• доступа к камерам и сервисам в локальной сети;
• обхода ограничений входящих соединений.

Но тут есть нюанс: настройка сложнее, чем обычный проброс порта, а итог зависит от выбранной схемы и используемого ПО.

4. Использовать облачные функции устройства

Для камер, видеонаблюдения и некоторых NAS это иногда самый простой путь. Устройство само выходит в интернет и связывается через облачную платформу производителя. Это не решает проблему CGNAT как таковую, но позволяет обойти ее для конкретной задачи.

Минус очевидный: вы зависите от стороннего сервиса и его стабильности.

Что делать в разных сценариях

Если проблема в играх

Сначала проверьте, жалуется ли сама игра или консоль на тип NAT. Если да, а проброс портов не дает эффекта, вероятность CGNAT высокая. Лучшие варианты — запросить белый IPv4 у провайдера или использовать те схемы подключения, которые не требуют входящего соединения к вашему устройству.

Для обычного участия в матчах CGNAT не всегда критичен, но для хостинга сессии и некоторых P2P-механик он мешает часто.

Если не работают камеры или регистратор

Если нужен именно прямой доступ по внешнему адресу, без белого IPv4 будет тяжело. Либо подключайте внешний адрес у провайдера, либо используйте облачную функцию производителя, либо настраивайте удаленный доступ через VPN.

Для систем видеонаблюдения второй и третий варианты обычно практичнее, чем борьба с портами вслепую.

Если нужен удаленный доступ к ПК или NAS

Самый безопасный путь — не открывать службу напрямую в интернет, а использовать VPN-доступ в домашнюю сеть. Даже при наличии белого IP это обычно лучше, чем держать снаружи открытый RDP или похожий сервис.

То есть CGNAT тут не только ограничение, но и повод выбрать более аккуратную схему доступа.

Что спросить у провайдера, чтобы не тратить время

Когда звоните в поддержку, лучше сразу задавать точные вопросы:

• Подключен ли у меня CGNAT?
• Могу ли я получить белый внешний IPv4?
• Будет ли он статическим или динамическим?
• Разрешены ли входящие подключения?
• Есть ли IPv6 и можно ли его использовать на моем тарифе?

Так вы быстрее поймете, есть ли простое решение на стороне оператора, вместо долгой возни с роутером.

Когда CGNAT — это не катастрофа, а когда реально мешает