La prueba de arriba junta cuatro pistas para decirte si compartes tu IPv4 pública con otros clientes de tu operador. La única definitiva es la IP WAN de tu router: las demás son indicios que te ahorran entrar en él. Debajo tienes qué es el CG-NAT, qué problemas da y cómo salir con cada operador.
Qué es el CG-NAT
Tu router ya hace NAT: todos los aparatos de tu casa salen a Internet con una sola IPv4. Con el CG-NAT (Carrier-Grade NAT, NAT a escala de operador) el operador repite la jugada un nivel más arriba. Tu router recibe una dirección interna, normalmente del rango 100.64.0.0/10 que el RFC 6598 reserva para esto, y un equipo del operador traduce el tráfico de muchos clientes a unas pocas IPv4 públicas.
Los operadores lo hacen porque no quedan IPv4 libres: RIPE NCC, el registro que reparte las direcciones en Europa, entregó su último bloque en noviembre de 2019. Compartir cada IPv4 entre varios clientes es la forma barata de seguir dando de alta líneas.
Cómo saber si tienes CG-NAT
Hay tres formas, de más a menos fiable:
- Compara la IP WAN del router. Entra en el router (cómo encontrar su dirección), busca el estado de la conexión a Internet o WAN y escribe esa IP en la prueba. Si empieza por 100.64 a 100.127, o es privada (10.x.x.x o 172.16 a 172.31), compartes IP. Si coincide con tu IPv4 pública, no.
- Haz un tracert. Si el segundo salto, el que va justo después de tu router, es una IP del rango 100.64.0.0/10, estás detrás de CG-NAT.
- Mira tu operador. La prueba lo hace por ti con nuestra tabla de operadores. Es un indicio, no una certeza: un mismo operador puede tener líneas con CG-NAT y líneas sin él.
C:\> tracert -d -h 4 cualmiip.es 1 <1 ms 192.168.1.1 2 3 ms 100.72.14.1 ← CG-NAT del operador 3 4 ms 203.0.113.9
En macOS y Linux, el comando equivalente es traceroute -n -m 4 cualmiip.es.
Entonces no es CG-NAT: tienes dos routers en cascada, por ejemplo el del operador y uno tuyo detrás (doble NAT). Mira la IP WAN del primero.
Qué problemas da
- No puedes abrir puertos en IPv4. Un servidor, una cámara, un NAS o el escritorio remoto no son accesibles desde fuera, porque el bloqueo está en el equipo del operador y no en tu router.
- Las consolas marcan NAT estricta (tipo 3 en PlayStation, «Estricta» en Xbox) y algunas partidas en línea o chats de voz fallan.
- Pagas por lo que hacen otros. Si un cliente con tu misma IP abusa de un servicio, a ti también te pueden bloquear o pedir más captchas.
- Fallan los servicios que dependen de tu IP, como las listas blancas por IP o el acceso remoto a tu propia red.
Para navegar, ver series o teletrabajar con la VPN de tu empresa normalmente no notas nada.
Cómo salir del CG-NAT
1. Pide una IP pública
Es la solución directa. Casi todos los operadores que usan CG-NAT te sacan si lo pides: unos gratis y otros por una cuota, como Digi con Conexión Plus. Pide una «IP pública» o «salir del CG-NAT»; no hace falta que sea fija. En la tabla de abajo tienes cómo se hace con cada operador.
2. Usa IPv6
Con IPv6 no hay CG-NAT: cada dispositivo tiene su propia dirección pública. Si tu operador te da IPv6 (compruébalo aquí), puedes abrir el puerto en el cortafuegos IPv6 del router. El límite es que quien se conecte desde fuera también necesita IPv6.
3. Saca tus servicios por un túnel
Si no te puedes librar del CG-NAT, publica lo que necesites con una conexión que abres tú desde dentro: una VPN propia en un servidor con IP pública (por ejemplo, WireGuard en un VPS), una red privada en malla o el túnel de un servicio como Cloudflare. No hace falta abrir puertos en el router.
Lo que no funciona
UPnP y la DMZ del router no sirven: abren puertos en tu router, pero el bloqueo está en el del operador. Una VPN comercial te cambia la IP de salida, pero solo te deja recibir conexiones si permite redirigir puertos.
CG-NAT por operador
| Operador | CG-NAT en fibra | Cómo salir |
|---|---|---|
| Movistar | No: IPv4 pública. En el móvil sí, con el APN telefonica.es. | En el móvil: desactivar «Conexión segura» y usar el APN movistar.es. |
| O2 | No: «IP pública y dinámica». | No hace falta. |
| Vodafone | No en «la gran mayoría» de sus líneas de fibra. | Llamar y pedir de forma explícita salir del CG-NAT. |
| Lowi | No por defecto, según BandaAncha. | Sin procedimiento publicado. |
| Orange y Jazztel | No si la línea solo usa IPv4. Con IPv6 (DS-Lite), sí. | Desactivar IPv6 en el router o pedirlo al soporte (según BandaAncha: Orange no publica nada). |
| MásMóvil | Sí. | Pedir a atención al cliente una IP pública fuera de CG-NAT. Gratis, según BandaAncha. |
| Yoigo | Sí, de forma habitual. | Llamar y pedir una IP pública. Gratis, según BandaAncha. |
| Pepephone | Sí: «Utilizamos CG-NAT». | Pedir una IP pública: «te la asignaremos sin coste». |
| Simyo | Sí, según su ayuda (hay usuarios con IP pública). | Simyo dice que no se puede salir. |
| Digi | Sí, por defecto. | Conexión Plus: 1 €/mes, impuestos incluidos. |
| Finetwork | En su red propia, sí; sobre la de Vodafone, no. | En su red propia no se puede salir. |
| Euskaltel, R y Telecable | Habitual desde la compra por MásMóvil. | Llamar y pedirlo. Según usuarios y BandaAncha, suelen hacerlo sin coste. |
| Avatel | En muchas altas, según usuarios. | Pedirla por teléfono o en tienda. |
| Adamo | En muchos casos. | Por teléfono. Era gratis, pero en 2026 hay clientes a los que se la han negado. |
Digi y el CG-NAT
Digi es el caso más claro. Lo dice en su ayuda y en sus condiciones de tarifa (versión del 8 de octubre de 2026): por defecto, tu conexión sale con una IPv4 pública dinámica compartida con otros clientes. Para tener una solo para ti hay que contratar Conexión Plus, que cuesta 1 € al mes con impuestos incluidos. Se pide en Mi DIGI, en el 1200 o en el 919 120 120, y después hay que reiniciar el router. Sin ella no se pueden abrir puertos, salvo el 25 (correo), que Digi abre si se lo pides.
La parte buena es que Digi da IPv6 en fibra: según APNIC, el 40,5 % de los usuarios de su red la tienen, y por IPv6 no hay CG-NAT. Conexión Plus tampoco es una IP fija: puede cambiar al reiniciar el router. Todo lo demás está en la guía del router de Digi.
DS-Lite: el CG-NAT de Orange y Jazztel
DS-Lite (Dual-Stack Lite) es una forma de dar IPv6 sin gastar IPv4. Tu router solo recibe IPv6 y mete la IPv4 dentro de ella hasta un equipo del operador, el AFTR, que la saca a Internet compartida. Orange y Jazztel lo usaron para dar IPv6 en fibra. Por eso, con ellos, tener IPv6 suele significar que tu IPv4 va por CG-NAT, y sin IPv6 tienes IPv4 pública.
Con DS-Lite se pueden abrir puertos IPv4 con PCP si el router lo admite. La guía oficial del Livebox Next lo explica en «Avanzada», «IPv6», «PCP»: el puerto público lo asigna el operador, no lo eliges tú.
Fuentes
- Digi: ¿DIGI usa CG-NAT?, cómo abrir los puertos y detalle de las tarifas (versión 15.2 del 8/10/2026).
- MásMóvil, qué es CGNAT; Pepephone, tarifa de fibra; Simyo, preguntas frecuentes de fibra; Finetwork, CG-NAT en Finetwork.
- Vodafone, cómo desactivar el CGNAT (10/11/2025); O2, IP pública y dinámica; Movistar, respuesta del técnico de la Comunidad (30/08/2023).
- Orange, abrir puertos en el Livebox Next (PCP).
- BandaAncha: cómo saber con certeza si tienes CG-NAT (actualizado el 9/3/2026), CG-NAT en los operadores (18/12/2024) y Orange, Digi e IPv6 (26/1/2023).
- APNIC Labs, uso de IPv6 por red en España (media de 30 días hasta el 18/10/2026) y RFC 6598 (rango 100.64.0.0/10).