Cos'è davvero il CGNAT
Internet originalmente era progettata con un IP pubblico per ogni dispositivo. Negli anni il pool di IPv4 (circa 4 miliardi di indirizzi) è diventato insufficiente per il numero di utenti che si è collegato a internet. Per gestire la scarsità, sono nati due meccanismi:
- NAT domestico: il tuo router fa NAT, e tutta la tua casa (10 dispositivi, 50 dispositivi) condivide un singolo IP pubblico assegnato dall'operatore. Esiste dagli anni Novanta, è la base di internet residenziale moderno.
- CGNAT (Carrier-Grade NAT): l'operatore fa un secondo NAT al suo livello. Più abbonati condividono lo stesso IP pubblico. Un singolo IP pubblico può essere assegnato a 50, 100, 1000 abbonati simultaneamente. È un secondo strato di NAT dopo quello del tuo router di casa.
Risultato: dal punto di vista di internet pubblico, tu non sei distinguibile dagli altri utenti dietro al tuo stesso IP CGNAT. È efficiente per gli operatori (risparmiano IP), ma riduce le funzionalità di rete avanzate per l'utente.
Come riconoscere il CGNAT
Test in due passi:
Passo 1: trova il tuo IP pubblico
Vai su ipinfo.io o
whatismyip.com dal tuo dispositivo.
Vedrai l'IP che internet pubblico associa a te. Esempio: 185.122.34.56.
Passo 2: trova l'IP del tuo modem
Entra nel pannello del modem (192.168.1.1 o IP corretto) e cerca la sezione WAN,
Internet Status, Connessione internet: troverai l'IP che il modem ha
ricevuto dall'operatore. Esempio: 100.84.12.45.
Confronto
- Se i due IP coincidono: NON sei in CGNAT. Il modem ha un IP pubblico vero.
- Se i due IP sono diversi e quello del modem inizia con 100.64 fino a 100.127: sei in CGNAT.
- Se l'IP del modem inizia con 10. oppure 172.16-31: sei dietro a una rete privata aziendale (raro per uso domestico).
Conseguenze del CGNAT
Quello che NON puoi fare
- Port forwarding: niente videocamere accessibili da fuori, niente NAS remoti, niente server di gioco con amici.
- IP statico: alcuni servizi VPN aziendali con autenticazione IP-based non funzionano.
- NAT type strict sui giochi: matchmaking lento, alcuni problemi voice chat.
- VPN inbound: server VPN domestico (WireGuard, OpenVPN su router) non raggiungibile da fuori.
Quello che CONTINUA a funzionare
- Navigazione web normale.
- Streaming (Netflix, YouTube, Spotify, Twitch).
- Videochiamate (Zoom, Teams, Meet).
- App di smart home: tutte usano relay cloud quindi funzionano comunque.
- VPN client (collegarsi a VPN aziendale dall'esterno).
Come uscire dal CGNAT
Soluzione 1: richiedi IP pubblico al servizio clienti
Chiama il call center dell'operatore e chiedi attivazione di IP pubblico. Politiche per operatore:
- Iliad: opzione a pagamento (qualche euro al mese), si attiva da area cliente.
- TIM: a richiesta, gratis sui piani residenziali, possibile sovrapprezzo sui FWA.
- Vodafone: variabile per zona, tipicamente gratis a richiesta.
- WindTre: a pagamento, costo dipende dal piano.
- Fastweb: di solito gratis su richiesta business e residenziali con offerta specifica.
- Tiscali: a richiesta, dipende dal piano.
Soluzione 2: IP statico business
Per chi serve un IP fisso che non cambia mai (server professionali, telecamere industriali, accesso remoto certo), tutti gli operatori italiani offrono IP statici sui piani business. Costo: 5-30 euro/mese a seconda dell'offerta.
Soluzione 3: tunnel VPN su server cloud
Più tecnica ma bypassa il CGNAT senza dipendere dall'operatore:
- Affitta un VPS economico (DigitalOcean, Linode, Hetzner) per 4-5 euro al mese.
- Installa WireGuard o OpenVPN sul VPS.
- Configura il VPS come gateway: ottiene IP pubblico fisso.
- Sul router di casa (o su un singolo dispositivo), configura tunnel VPN client verso il VPS.
- I servizi che vuoi esporre li raggiungi tramite l'IP del VPS, che fa proxy verso casa.
Soluzione potente ma richiede competenze sysadmin. Servizi come Tailscale (gratis fino a 100 dispositivi) semplificano molto questa configurazione.
IPv6: la soluzione "vera" al CGNAT
IPv6 ha uno spazio di indirizzi praticamente infinito: 340 sextillion di indirizzi. Con IPv6 ogni dispositivo del mondo può avere il proprio IP pubblico. L'Italia è in ritardo sulla migrazione: TIM, Vodafone, Fastweb supportano IPv6 sui piani fibra moderni; Iliad lo fornisce di default. Se hai IPv6 attivo e il servizio che vuoi raggiungere supporta IPv6, il CGNAT IPv4 non ti blocca: la connessione passa via IPv6 con IP pubblico vero.
Domande frequenti
Tutti gli operatori italiani usano CGNAT?
No, ma la situazione varia. Iliad: CGNAT di default su tutte le linee fisse, IP pubblico statico solo a pagamento aggiuntivo. WindTre: CGNAT esteso, soprattutto sulle linee FWA e fibra di nuova attivazione. Vodafone: CGNAT solo su alcune zone e tipi di linea, IP pubblico dinamico standard nelle aree storiche. TIM: tradizionalmente IP pubblico dinamico, ma sulle nuove FTTH sta migrando alcuni clienti su CGNAT. Fastweb: storia mista, IP pubblici disponibili gratis a richiesta sui piani business, parametri variabili sui residenziali. Per scoprire la tua situazione, fai il test descritto sotto.
Come faccio a sapere se sono in CGNAT?
Test in due passaggi. (1) Vai su un sito tipo ipinfo.io dal tuo dispositivo: ti mostra il tuo IP pubblico. Annotalo. (2) Entra nel pannello del router e cerca la voce WAN o Stato Internet: vedrai l'IP che il modem ha ricevuto dall'operatore. Confronto: se i due IP coincidono, NON sei in CGNAT (hai un IP pubblico vero). Se sono diversi, sei in CGNAT (l'IP del modem è un IP CGNAT 100.64.0.0/10, e l'IP che vedi su ipinfo.io è quello pubblico condiviso con altri abbonati). Gli IP CGNAT iniziano sempre con 100.64.x.x fino a 100.127.x.x.
Cosa non posso fare se sono in CGNAT?
Tre limitazioni concrete. (1) Port forwarding NON funziona: non puoi rendere accessibile da fuori una videocamera, un NAS, un server web di casa, perché l'IP pubblico è condiviso e il traffico in entrata non arriva al tuo modem. (2) Niente IP statico per servizi che lo richiedono (alcuni VPN aziendali con autenticazione IP-based, alcune piattaforme professionali). (3) NAT type strict sui giochi online: il matchmaking è più lento, alcune funzioni online hanno problemi (voice chat, hosting partite). Ciò che continua a funzionare: navigazione web, streaming, videochiamate, app cloud, smart home (perché funzionano sempre con connessioni in uscita iniziate da casa).
Come esco dal CGNAT?
Hai diverse alternative, eccole in ordine. (1) Richiedi IP pubblico al servizio clienti: chiama l'operatore e chiedi l'attivazione di IP pubblico. Per Iliad è un'opzione a pagamento (qualche euro al mese). Per TIM, Vodafone, WindTre: a volte gratis a richiesta, a volte con piccolo sovrapprezzo. Fastweb: di solito gratis. (2) IP pubblico statico: opzione business, costa di più, ma garantisce che il tuo IP non cambi mai. (3) VPN come alternativa: invece di esporre porte, usi una VPN su un server cloud (DigitalOcean, Linode da 5 euro al mese) e fai tunnel verso casa. Più tecnico ma bypassa il CGNAT senza dipendere dall'operatore.