El NAT de nivel de operador (CGNAT) es una técnica de traducción de direcciones de red a gran escala que asigna numerosas direcciones IPv4 privadas a un pequeño conjunto de direcciones IPv4 públicas, utilizando la traducción de direcciones de red y puertos (NAPT) para ahorrar espacio de direcciones. Los proveedores de servicios de Internet (ISP) y las empresas lo utilizan para distribuir las limitadas asignaciones de direcciones IPv4 públicas entre una amplia base de abonados.
Puntos clave
- CGNAT comparte un bloque de direcciones IP públicas entre numerosos abonados mediante NAPT.
- En el tráfico saliente, solo se traducen la dirección de origen y el puerto.
- Versa CGNAT también es compatible con NAT64, DNS64 y la ofuscación de red.
- Los conjuntos de direcciones y las reglas de los dispositivos VOS definen cómo se aplica la traducción.
- Los modos de doble NAT traducen tanto la dirección de origen como la de destino en una sola pasada.
En esta página: Por qué es importanteCómo funcionaTiposCGNAT y VersaPreguntas frecuentes
¿Por qué es importante el CGNAT?
El agotamiento de las direcciones IPv4 hizo que el CGNAT fuera inevitable. El espacio de direcciones IPv4 públicas se quedó sin nuevas asignaciones hace años, pero Internet sigue creciendo: hay más abonados, más dispositivos por abonado y más terminales de IoT. Los operadores no pueden adquirir suficientes direcciones públicas para asignar una a cada dispositivo, por lo que el CGNAT comparte un pequeño conjunto de direcciones públicas, lo que prolonga la vida útil del IPv4 sin necesidad de una transición inmediata al IPv6.
Las ventajas van más allá de la conservación. CGNAT también oculta la topología interna: un dispositivo externo solo ve la dirección pública compartida, no el direccionamiento privado que hay detrás, lo que reduce la superficie de ataque. En los dispositivos VOS de Versa , CGNAT gestiona la salida a Internet del tráfico de las sucursales, admite «twice-NAT» para la traducción combinada de origen y destino, y permite la ofuscación de la red, ocultando la IP real de un servidor tras una asignada dinámicamente.
¿Qué es CGNAT?
El CGNAT funciona como un NAT convencional, pero a una escala mucho mayor. Un dispositivo de red —un router perimetral de un operador o, en implementacione Versa es, un dispositivo VOS— mantiene un conjunto de direcciones IP públicas y reglas que definen qué tráfico privado se traduce y cómo. Cuando un host privado envía tráfico al exterior, el dispositivo reescribe la dirección IP de origen, y normalmente también el puerto de origen, por otra tomada del conjunto público, y a continuación realiza un seguimiento de la asignación (el enlace) para que el tráfico de retorno encuentre el camino de vuelta.
Dado que miles de direcciones privadas comparten un conjunto público relativamente pequeño, la asignación de puertos —y no la de direcciones— se convierte en el recurso que hay que gestionar: cada dirección pública admite numerosas sesiones simultáneas a través de diferentes puertos. Los tiempos de espera configurables para las asignaciones de ICMP, TCP y UDP recuperan las vinculaciones no utilizadas, y esquemas como el «round robin» distribuyen la carga por todo el conjunto. La asignación independiente del punto final y el filtrado controlan si una vinculación se reutiliza en distintos destinos remotos, lo cual es importante para el tráfico de VoIP y de videojuegos.
Tipos de CGNAT
Existen tres enfoques generales que abordan diferentes necesidades de traducción. NAT44, también denominado NAT a gran escala, es la función principal de CGNAT: numerosas direcciones IPv4 privadas comparten un conjunto de direcciones IPv4 públicas a través de NAPT, con variantes básicas, dinámicas, de destino y de doble NAT que abarcan desde asignaciones estáticas uno a uno hasta la traducción totalmente dinámica de origen y destino en una sola pasada. NAT64/DNS64 resuelve un problema distinto: permite que los clientes que solo utilizan IPv6 accedan a servidores que solo utilizan IPv4 mediante la síntesis de una dirección IPv6 para el destino y la traducción del tráfico resultante de vuelta a IPv4 en la pasarela. NPTv6 (Network Prefix Translation) es una alternativa sin estado de IPv6 a IPv6: intercambia prefijos de direcciones internas por externos utilizando un algoritmo neutro respecto a la suma de comprobación, sacrificando la flexibilidad del NAT a cambio de simplicidad y accesibilidad de extremo a extremo.
CGNAT y Versa
Versa Implementa CGNAT de forma nativa en los dispositivos VOS como un servicio basado en conjuntos de direcciones y reglas. En Director, los administradores configuran los grupos y las reglas de CGNAT por plantilla de dispositivo —rangos de direcciones, esquemas de asignación de puertos, tiempos de espera de mapeo— y, a continuación, aplican modos de NAT que van desde el NAT-44 básico y el NAPT-44 hasta variantes de doble NAT, el NPT-66 para la traducción de prefijos IPv6 y el NAT64/DNS64 para la interoperabilidad entre IPv4 e IPv6. En Concerto, esta misma función se ofrece como políticas de CGNAT integradas en las plantillas principales de SD-WAN, añadiendo un modo de reenvío de puertos que simplifica la exposición de un servicio interno mediante una sola regla.
Versa CGNAT también admite la ofuscación de red —asignando una dirección de destino dinámica para que una consulta DNS devuelva una dirección ficticia en lugar de la real del servidor— y la asignación independiente del punto final para aplicaciones sensibles al NAT. Los operadores resuelven los problemas de CGNAT desde la CLI, comprobando las estadísticas del grupo, el estado de las reglas por inquilino y los contadores de sesiones activas a través del demonio vsmd.
Preguntas frecuentes
¿Cuál es la diferencia entre CGNAT y el NAT convencional?
El NAT convencional asigna una dirección privada a una dirección pública para un hogar o una oficina. El CGNAT comparte un pequeño conjunto de direcciones públicas entre miles de abonados, utilizando la traducción a nivel de puerto para multiplicar la capacidad; ese conjunto compartido, gestionado por el operador, es lo que lo convierte en un sistema de «nivel de operador».
¿El CGNAT provoca fallos en las aplicaciones que dependen de las conexiones entrantes?
Sí, es posible. Dado que los abonados comparten una misma dirección pública, un servidor externo no puede conectarse de forma fiable con un abonado concreto sin que el tráfico saliente haya establecido previamente una asociación; esto complica el alojamiento web y parte del tráfico de VoIP o de videojuegos, a menos que se configure el reenvío de puertos.
¿Por qué utilizan los proveedores de servicios de Internet el CGNAT?
El agotamiento de las direcciones IPv4 dejó a los proveedores de servicios de Internet (ISP) sin suficientes direcciones públicas para asignar una a cada abonado. La tecnología CGNAT permite a un proveedor dar servicio a una amplia base de abonados a partir de un conjunto de direcciones IPv4 públicas mucho más reducido, lo que retrasa la migración total a IPv6 al tiempo que mantiene a los abonados conectados a la red de Internet IPv4.
¿Qué es el «twice-NAT» en CGNAT?
La traducción «Twice-NAT» traduce tanto la dirección de origen como la de destino de un paquete en una sola regla; por ejemplo, traduciendo dinámicamente la dirección de origen y reescribiendo estáticamente la de destino. Versa CGNAT es compatible con «Twice Basic», «Twice Dynamic» y «Twice NAPT-44» para estos casos.
¿Qué relación hay entre NAT64 y CGNAT?
NAT64 es un modo CGNAT que permite a los clientes que solo utilizan IPv6 conectarse a servidores que solo utilizan IPv4: DNS64 sintetiza una dirección IPv6 para el destino y la pasarela vuelve a traducir el tráfico resultante a IPv4; este es el mecanismo que permite el acceso exclusivo mediante IPv6 a una red de Internet IPv4 heredada.
Más información sobre CGNAT
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| RFC 6888: Requisitos comunes para los NAT de nivel de operador | RFC 6146: NAT64 con estado |
|---|---|
| Los requisitos básicos de la IETF para los dispositivos CGN: registro de datos, comportamiento de la gestión de grupos de direcciones y compatibilidad con las aplicaciones. | El estándar de traducción de IPv6 a IPv4 con estado en el que se basa el modo NAT64 de CGNAT, que permite a los clientes que solo disponen de IPv6 acceder a servidores IPv4. |
Términos relacionados
Si estás leyendo sobre CGNAT, te conviene echar un vistazo a lo siguiente.
| Traducción de direcciones de red | Red | Denegación de servicio |
|---|---|---|
| El proceso general de traducción de direcciones CGNAT es escalable: « Versa » admite los tipos de NAT básico, dinámico, de destino y de nivel de operador. | El objeto VOS que agrupa las interfaces en una instancia de enrutamiento; los grupos y las reglas de CGNAT tienen un ámbito limitado a uno. | Un ataque que satura un objetivo para impedir el acceso a los usuarios legítimos; los perfiles de registro de CGNAT ayudan a rastrear el uso indebido hasta un abonado. |