¿Qué es el CGNAT (NAT de nivel de operador)?

Cómo funciona el CGNAT

El RFC 6598 de la IETF reservó el bloque 100.64.0.0/10 (del 100.64.0.0 al 100.127.255.255) como espacio de direcciones compartido dedicado para el enlace entre los dispositivos CGN y los equipos de las instalaciones del cliente, manteniéndolo separado de los rangos privados del RFC 1918 (IETF RFC 6598, 2012). Cuando un abonado envía una solicitud, el dispositivo CGN del operador reescribe la dirección de origen del rango 100.64.x.x por una IP pública compartida y registra la traducción. Las respuestas vuelven a través del mismo dispositivo y se traducen a la inversa para llegar al abonado correcto.

Esto da lugar a una configuración de doble NAT: un NAT dentro del router doméstico y otro a nivel del operador. Los números de puerto permiten distinguir las sesiones entre los distintos usuarios que comparten la misma dirección IP pública.

Cómo afecta el CGNAT a los sistemas basados en IP

Dado que cientos de usuarios comparten una misma dirección IP pública, cualquier sistema que bloquee o clasifique en función de la dirección IP los trata a todos como una sola entidad. Un bloqueo dirigido a un usuario malintencionado afecta a todos los demás abonados del mismo grupo. La precisión de la geolocalización también disminuye: la dirección IP pública se asocia a la ubicación de la infraestructura del operador, no a la ciudad o barrio real del abonado.

La reputación de IP funciona de la misma manera. Un solo remitente de spam en un grupo CGNAT puede perjudicar las puntuaciones de cientos de usuarios que no tienen nada que ver con él. Los operadores de telefonía móvil son los principales usuarios de CGNAT, ya que la mayoría de las redes 4G y 5G sitúan los teléfonos móviles detrás de este sistema. Los dispositivos reales en redes de proxy residenciales y móviles reflejan este comportamiento de CGNAT, razón por la cual sus patrones de tráfico difieren de los de las direcciones IP de los centros de datos, que cuentan con direcciones públicas dedicadas.

• Análisis de redes móviles. CGNAT explica por qué la geolocalización mediante IP móvil es aproximada y por qué muchas sesiones comparten una única dirección pública.
• Obtención de direcciones IP y servidores proxy. Las redes de proxies residenciales, como Massive, obtienen direcciones IP de origen de dispositivos reales de consumidores, muchos de los cuales se encuentran detrás de CGNAT. Su tráfico de salida se asemeja mucho al comportamiento habitual de los abonados, en lugar de al tráfico de salida de un centro de datos.
• Detección de fraudes y abusos. Los equipos de seguridad tienen en cuenta el CGNAT antes de bloquear de forma masiva una dirección IP compartida, lo que reduce el impacto colateral sobre los usuarios legítimos del mismo grupo.
• Planificación de IPv6. CGNAT es una solución provisional mientras los operadores implementan IPv6. IPv6 asigna a cada dispositivo una dirección pública única, lo que elimina por completo el problema de las direcciones IP compartidas.