NAT, doppio NAT e CGNAT
Il NAT è una delle funzioni più comuni dei router IPv4 domestici e permette a molti dispositivi della rete privata di comunicare verso Internet attraverso la connessione esterna. Quando però compare un secondo router oppure il provider utilizza CGNAT, possono esistere più livelli di traduzione che rendono più complicate le connessioni in ingresso e alcune configurazioni avanzate.
💡 In poche parole
NAT significa Network Address Translation e indica un insieme di meccanismi attraverso i quali un dispositivo modifica informazioni di indirizzamento mentre il traffico attraversa una rete. Nelle normali reti domestiche IPv4 il router utilizza il NAT per mettere in comunicazione gli indirizzi privati della LAN con la rete esterna.
Il doppio NAT compare quando il traffico attraversa due dispositivi che effettuano traduzione, mentre con il CGNAT uno di questi livelli si trova addirittura nella rete dell’operatore e non è direttamente controllabile dall’utente.
🏠 Perché utilizziamo indirizzi IPv4 privati?
I dispositivi di una normale rete domestica utilizzano spesso indirizzi appartenenti agli intervalli IPv4 privati, per esempio 192.168.1.20 oppure 192.168.1.100. Questi indirizzi possono essere riutilizzati all’interno di moltissime reti differenti e non vengono instradati direttamente sulla rete Internet pubblica.
Tutti questi dispositivi possono comunque raggiungere Internet perché il router si trova tra la rete privata e la WAN e gestisce le traduzioni necessarie alle comunicazioni IPv4.
🧠 Concetto chiave
L’indirizzo IP utilizzato dal computer nella LAN e quello utilizzato dal router verso Internet non devono essere necessariamente lo stesso indirizzo. È proprio il router a mantenere le informazioni necessarie per associare il traffico esterno alle comunicazioni generate dai dispositivi interni.
🔄 Cosa fa il NAT del router?
Quando un dispositivo della LAN inizia una comunicazione verso Internet, il router riceve il traffico sull’interfaccia interna e lo inoltra verso la WAN applicando le traduzioni previste. Nelle comuni configurazioni domestiche viene normalmente utilizzato anche il numero di porta per distinguere contemporaneamente le comunicazioni generate da numerosi client.
🔢 NAT e PAT: perché compaiono le porte?
Nella pratica domestica, molti dispositivi devono poter condividere contemporaneamente la stessa connettività esterna. Per distinguere le varie comunicazioni, il router può utilizzare non soltanto gli indirizzi IP ma anche le porte dei protocolli di trasporto, comportamento comunemente descritto come PAT, Port Address Translation.
💡 Esempio semplificato
Le due comunicazioni possono quindi utilizzare lo stesso indirizzo IPv4 esterno pur rimanendo distinguibili grazie alle informazioni mantenute dal router.
📤 Come torna la risposta al dispositivo corretto?
Quando il server remoto risponde, il traffico raggiunge il router che consulta lo stato delle traduzioni attive e individua quale dispositivo interno aveva originato quella comunicazione. Il pacchetto viene quindi inoltrato verso l’host corretto della LAN.
🚫 Perché le connessioni iniziate dall’esterno sono diverse?
Se un dispositivo interno ha iniziato la comunicazione, il router possiede già una traduzione che gli permette di riconoscere il traffico di risposta. Se invece una nuova connessione arriva spontaneamente da Internet, il router non può sapere automaticamente a quale computer, NAS o altro dispositivo della LAN debba consegnarla.
Per consentire determinate connessioni in ingresso è quindi possibile utilizzare regole specifiche, come il Port Forwarding, purché il traffico proveniente da Internet riesca effettivamente a raggiungere la WAN controllata dall’utente.
⚠️ NAT e firewall non sono la stessa cosa
Il NAT modifica informazioni di indirizzamento, mentre il firewall decide quale traffico consentire o bloccare secondo determinate regole. Nei router domestici le due funzioni lavorano spesso insieme, ma non devono essere considerate sinonimi.
🔗 Cos’è il doppio NAT?
Il doppio NAT compare quando il traffico attraversa due router che eseguono entrambi la traduzione degli indirizzi. È uno scenario molto frequente quando colleghiamo un router personale dietro al router dell’operatore utilizzando la porta WAN del secondo dispositivo.
📊 Un esempio di doppio NAT
Il PC appartiene alla rete 192.168.50.0, attraversa prima il NAT del router personale e successivamente quello del router dell’operatore. Per la normale navigazione questa configurazione può funzionare senza che l’utente noti alcun problema.
⚠️ Quando il doppio NAT diventa un problema?
Le difficoltà emergono soprattutto quando dobbiamo accettare connessioni provenienti dall’esterno oppure quando un’applicazione cerca di gestire automaticamente il NAT. In questi casi bisogna considerare entrambi i router invece di configurare soltanto quello più vicino al dispositivo finale.
- Port Forwarding più complesso;
- alcuni giochi online;
- console e classificazione del NAT;
- server domestici;
- alcune configurazioni VPN;
- servizi peer-to-peer;
- UPnP;
- accesso remoto alla rete domestica.
🔑 Doppio NAT non significa necessariamente Internet lento
La presenza di due NAT non implica automaticamente una riduzione evidente della velocità. Il problema principale riguarda soprattutto la complessità della rete e la gestione delle connessioni in ingresso, anche se apparati poco potenti possono naturalmente introdurre altri limiti.
🔍 Come riconoscere il doppio NAT?
Uno dei controlli più semplici consiste nell’aprire il pannello del router personale e osservare l’indirizzo assegnato alla sua interfaccia WAN. Se la WAN utilizza un indirizzo privato appartenente alla rete del router a monte, significa che non sta comunicando direttamente con la rete pubblica.
💡 Esempio
🔄 Come eliminare il doppio NAT?
La soluzione dipende dall’architettura della rete. Se vogliamo che il router personale diventi l’unico vero router domestico, possiamo utilizzare la modalità bridge sul dispositivo a monte quando è disponibile oppure collegare direttamente il router personale all’ONT nelle configurazioni FTTH compatibili.
Se invece il secondo dispositivo serve soltanto per estendere Wi-Fi ed Ethernet, può essere più opportuno configurarlo come Access Point invece di utilizzarlo come router aggiuntivo.
🌐 Cos’è il CGNAT?
CGNAT significa Carrier-Grade Network Address Translation e indica una traduzione degli indirizzi eseguita all’interno della rete dell’operatore. In questo scenario più clienti possono condividere uno o più indirizzi IPv4 pubblici, aggiungendo un ulteriore livello di NAT oltre a quello presente nelle abitazioni.
💡 Perché gli operatori utilizzano il CGNAT?
Il motivo principale è legato alla scarsità degli indirizzi IPv4 pubblici. Attraverso il CGNAT un provider può utilizzare un numero più contenuto di indirizzi pubblici per fornire connettività IPv4 a molti clienti contemporaneamente.
Per le normali connessioni iniziate dall’utente verso Internet il sistema può essere sostanzialmente trasparente, mentre diventa molto più evidente quando vogliamo rendere raggiungibile direttamente dall’esterno un servizio presente nella rete domestica.
🔢 Lo spazio 100.64.0.0/10
Per gli scenari di address sharing degli operatori è stato riservato lo spazio IPv4 100.64.0.0/10. Se sulla WAN del router compare un indirizzo appartenente a questo intervallo, è un forte indizio dell’utilizzo di una rete condivisa con CGNAT.
⚠️ Non basta controllare soltanto 100.64.x.x
L’architettura dell’operatore può essere più complessa e l’osservazione di un singolo indirizzo non deve essere l’unico metodo di diagnosi. Un controllo molto utile consiste nel confrontare l’indirizzo WAN mostrato dal router con l’indirizzo IPv4 pubblico osservato da un servizio esterno.
🔍 Come verificare se sei sotto CGNAT?
Possiamo partire confrontando l’indirizzo IPv4 WAN mostrato dal router con quello attraverso il quale Internet vede la connessione. Se i due valori non coincidono e la WAN utilizza un indirizzo privato o appartenente allo spazio condiviso, è probabile che esista un ulteriore livello di traduzione a monte.
🚪 CGNAT e Port Forwarding
Con il CGNAT, creare una regola di Port Forwarding sul router domestico può non essere sufficiente. Il traffico proveniente da Internet deve prima attraversare il NAT dell’operatore e l’utente normalmente non può creare regole su quel dispositivo.
La regola presente sul router di casa controlla soltanto il livello NAT domestico e non può modificare automaticamente il comportamento del CGNAT situato nella rete del provider.
🧠 “Ho aperto la porta ma risulta ancora chiusa”
Quando il Port Forwarding sembra configurato correttamente ma il servizio non è raggiungibile, bisogna verificare anche la presenza di doppio NAT o CGNAT. Continuare a modificare la stessa regola sul router non risolve un livello di traduzione che si trova più a monte.
🎮 CGNAT e gaming
Molti giochi funzionano perfettamente anche dietro CGNAT perché utilizzano connessioni in uscita, server intermedi e tecniche progettate per lavorare attraverso NAT. In alcuni scenari, però, la presenza di più livelli di traduzione può influenzare la classificazione del NAT mostrata da console e giochi oppure complicare connessioni peer-to-peer.
Questo non significa che CGNAT produca automaticamente ping elevato: il percorso e l’infrastruttura dell’operatore sono molto più importanti per la latenza rispetto alla semplice presenza del termine CGNAT.
🔐 CGNAT e VPN
Se utilizziamo un servizio VPN nel quale il dispositivo domestico avvia la connessione verso un server esterno, il CGNAT normalmente non impedisce la creazione del tunnel. Il problema cambia quando vogliamo invece ospitare direttamente in casa un server VPN raggiungibile tramite IPv4 pubblico.
🚀 Come uscire dal CGNAT?
La possibilità dipende dal provider. Alcuni operatori permettono di richiedere un indirizzo IPv4 pubblico dinamico o statico, gratuitamente oppure come servizio aggiuntivo, mentre altri utilizzano politiche differenti.
Se abbiamo realmente bisogno di pubblicare servizi IPv4 dalla rete domestica, la soluzione più semplice è verificare con l’operatore la disponibilità di un indirizzo IPv4 pubblico prima di perdere tempo con configurazioni impossibili da realizzare dal solo router.
🌐 E con IPv6?
IPv6 dispone di uno spazio di indirizzamento enormemente più ampio e permette ai dispositivi di utilizzare indirizzi globalmente instradabili senza dover ricorrere al NAT IPv4 come normale soluzione per condividere un singolo indirizzo pubblico.
Questo non significa però che un dispositivo IPv6 debba essere automaticamente raggiungibile dall’esterno: il firewall del router continua a controllare quali connessioni in ingresso sono autorizzate.
🛡️ IPv6 senza NAT non significa rete senza protezione
NAT e firewall sono due concetti differenti. Con IPv6 possiamo evitare il NAT utilizzato comunemente in IPv4 e mantenere comunque un firewall stateful che blocca le connessioni in ingresso non autorizzate.
📊 NAT, doppio NAT e CGNAT a confronto
| Scenario | Dove avviene il NAT | Controllo dell’utente |
|---|---|---|
| NAT domestico | Router di casa | Generalmente completo |
| Doppio NAT domestico | Due router in cascata | Spesso entrambi configurabili |
| CGNAT | Router domestico + rete dell’operatore | Il NAT dell’ISP non è gestito direttamente dall’utente |
🔍 Diagnosi rapida
| Cosa osservi | Cosa può significare |
|---|---|
| WAN router = IPv4 pubblico | Il router potrebbe essere direttamente sul livello IPv4 pubblico. |
| WAN router = 192.168.x.x | Probabile altro router privato a monte. |
| WAN router = 10.x.x.x | Esiste una rete privata IPv4 a monte. |
| WAN router = 100.64.0.0/10 | Forte indizio di Shared Address Space / CGNAT. |
| WAN router diversa dall’IPv4 pubblico osservato su Internet | Esiste probabilmente almeno un livello di traduzione a monte. |
| Port Forwarding corretto ma servizio irraggiungibile | Controllare doppio NAT, CGNAT, firewall e servizio locale. |
🔧 Non confondere CGNAT con doppio NAT domestico
Dal punto di vista del dispositivo finale entrambi gli scenari introducono più livelli di traduzione, ma la differenza fondamentale riguarda il controllo. Con due router presenti in casa possiamo spesso modificare entrambi, attivare il bridge oppure cambiare l’architettura della rete; con CGNAT, invece, il secondo livello appartiene al provider.
🎯 In sintesi
- NAT significa Network Address Translation.
- Il router domestico utilizza normalmente NAT nelle reti IPv4 private.
- Il PAT permette di distinguere molte comunicazioni utilizzando anche le porte.
- Il router mantiene lo stato necessario per inoltrare correttamente il traffico di risposta.
- NAT e firewall sono funzioni differenti.
- Due router in cascata possono creare doppio NAT.
- Il doppio NAT può complicare Port Forwarding, gaming, VPN e accesso remoto.
- Un indirizzo WAN privato può indicare la presenza di un router a monte.
- CGNAT significa Carrier-Grade NAT e viene realizzato nella rete dell’operatore.
- CGNAT permette a più clienti di condividere indirizzi IPv4 pubblici.
- Lo spazio 100.64.0.0/10 viene utilizzato per scenari di address sharing.
- Il Port Forwarding sul router domestico non controlla il NAT dell’operatore.
- CGNAT non significa automaticamente latenza elevata.
- IPv6 riduce la necessità del NAT IPv4, ma il firewall continua a essere fondamentale.
❓ Domande frequenti
Cos’è il NAT del router?
È un meccanismo di traduzione degli indirizzi utilizzato, tra le altre cose, per permettere ai dispositivi con indirizzi IPv4 privati della rete domestica di comunicare attraverso la connessione esterna del router.
Cos’è il doppio NAT?
È una situazione nella quale il traffico attraversa due dispositivi che eseguono NAT, per esempio quando un router personale viene collegato tramite la propria WAN dietro al router dell’operatore.
Il doppio NAT rallenta Internet?
Non necessariamente in modo percepibile. I problemi principali riguardano la maggiore complessità della rete e la gestione delle connessioni in ingresso, anche se le prestazioni dipendono naturalmente anche dagli apparati utilizzati.
Cos’è il CGNAT?
È un sistema nel quale l’operatore esegue un ulteriore livello di traduzione IPv4 all’interno della propria rete, permettendo a più clienti di condividere indirizzi IPv4 pubblici.
Come capisco se sono sotto CGNAT?
Puoi confrontare l’indirizzo IPv4 WAN mostrato dal router con l’indirizzo pubblico osservato da Internet. Un indirizzo WAN appartenente allo spazio 100.64.0.0/10 oppure ad altri intervalli non pubblici, accompagnato da un IPv4 pubblico differente all’esterno, indica la presenza di un livello NAT a monte.
Il Port Forwarding funziona con CGNAT?
La normale regola configurata sul router domestico non controlla il NAT presente nella rete dell’operatore. Per ricevere direttamente connessioni IPv4 dall’esterno può quindi essere necessario disporre di un IPv4 pubblico fornito dal provider.
IPv6 elimina il CGNAT?
IPv6 permette un modello differente basato su indirizzi globalmente instradabili e non richiede il NAT IPv4 come soluzione ordinaria alla scarsità degli indirizzi. La connessione può comunque continuare a utilizzare CGNAT per la componente IPv4.