За CGNAT кілька абонентів використовують одну публічну IPv4-адресу. Провайдер виконує ще одне перетворення адрес перед вашим роутером. Ви не керуєте цим рівнем NAT, тому звичайне перенаправлення порту не створює шлях з інтернету до сервера.
Перевірка за дві хвилини
- Знайдіть WAN або Internet IPv4 у панелі роутера.
- Відкрийте свою публічну IP-адресу без комерційного VPN і порівняйте.
- Адреса WAN у 100.64.0.0/10 — ознака CGNAT. Адреси 10/8, 172.16/12 і 192.168/16 приватні: перевірте також другий роутер.
- Уточніть у провайдера наявність вхідних з’єднань і можливість отримати публічну IPv4.
Умови провайдерів
Умови залежать від провайдера, тарифу й типу підключення. Особливо перевіряйте мобільний інтернет і нові оптоволоконні мережі. Назва провайдера сама по собі не доводить наявність чи відсутність CGNAT; орієнтуйтеся на фактичну адресу та відповідь підтримки.
П’ять можливих рішень
- Замовити публічну IPv4; вона не обов’язково має бути статичною, якщо працює DDNS.
- Використовувати IPv6, якщо обидві сторони його підтримують, і дозволити лише потрібні вхідні з’єднання у firewall.
- Використовувати VPN із механізмом встановлення зв’язку за NAT або власним доступним вузлом.
- Налаштувати зворотний тунель до сервера з публічною адресою.
- Скористатися хмарним доступом застосунку, якщо його умови та функції відповідають вашій задачі.
Звичайний WireGuard-сервер за CGNAT без доступного зовнішнього вузла сам проблему не вирішує. Тунелі можуть мати обмеження трафіку, потокового відео та розміру запитів.
CGNAT чи подвійний NAT?
Якщо між вашим сервером та інтернетом два власні роутери, дивіться подвійний NAT. Режим bridge на домашньому обладнанні може усунути один рівень, але не прибирає NAT провайдера.
Після отримання публічної адреси
Налаштуйте DDNS, зарезервуйте адресу сервера у LAN, відкрийте лише потрібний порт і перевірте його з мобільної мережі. Для .app обов’язковий HTTPS.
Підсумкова перевірка
Тестуйте через мобільну мережу поза домашнім Wi-Fi. Окремо перевірте DNS, потрібний порт, чинний HTTPS-сертифікат та вхід у застосунок. Залишайте адмінпанелі приватними, встановлюйте оновлення й перевіряйте відновлення резервних копій. Контролюйте firewall IPv6 разом з IPv4. Успішний тест порту не є аудитом безпеки.
Ця локалізована редакція стисло викладає вихідну інструкцію. Команди зберігають оригінальний синтаксис. Для своєї версії звіряйтеся з документацією виробника за посиланнями.
