Publiczny adres IP może należeć naraz do wielu abonentów
Domowy NAT już pozwala kilku urządzeniom korzystać z jednego publicznego IPv4. Operator może jednak wykonać podobną translację jeszcze raz, we własnej sieci. Carrier-Grade NAT sprawia, że wielu niezależnych abonentów może współdzielić ten sam publiczny adres IPv4 widziany przez serwery w Internecie. RFC 6598 zarezerwowało nawet specjalną przestrzeń 100.64.0.0/10 do połączeń między urządzeniami klientów a infrastrukturą CGN. Dlatego publiczny adres IP nie zawsze identyfikuje nawet jedno gospodarstwo domowe — może reprezentować całą grupę klientów operatora.
NAT może być piętrowy
Typowy domowy router tłumaczy prywatne adresy urządzeń, takie jak 192.168.x.x, na adres używany na zewnątrz. Gdy operator wdraża Carrier-Grade NAT, router klienta może otrzymać adres z przestrzeni współdzielonej, a dopiero większy translator w sieci ISP mapuje wiele takich klientów na pulę publicznych IPv4. Powstają więc dwie warstwy translacji: jedna w domu i druga u operatora.
Po co operatorzy to robią
Głównym powodem jest niedobór adresów IPv4. RFC 6598 powstało właśnie dlatego, że operatorzy potrzebowali przestrzeni adresowej do budowy CGN w okresie, gdy IPv4 było praktycznie wyczerpane, a IPv6 nie było jeszcze wszędzie dostępne. Współdzielenie publicznych adresów pozwala obsługiwać kolejnych klientów bez przydzielania każdemu osobnego, globalnie routowalnego IPv4.
Jak serwer odróżnia rozmowy
Sam adres IP nie wystarcza do rozdzielenia wszystkich połączeń. Translatory śledzą mapowania obejmujące także porty i protokół transportowy. Dzięki temu połączenia wychodzące różnych klientów mogą korzystać z jednego publicznego adresu, a urządzenie CGN wie, do którego wewnętrznego klienta przekazać odpowiedź. Liczba współdzielących użytkowników i sposób przydziału portów zależą od konkretnej implementacji operatora.
Skutki są widoczne w nietypowych miejscach
Jeżeli serwis internetowy identyfikuje użytkowników wyłącznie po publicznym IPv4, może połączyć w jedną grupę osoby, które wcale się nie znają. Limity typu „jedno żądanie na adres IP” mogą więc wpływać na wielu klientów naraz. Również diagnostyka połączeń przychodzących jest trudniejsza, ponieważ klient za CGN zwykle nie kontroluje publicznego mapowania tak jak użytkownik posiadający własny adres.
Dlaczego przekierowanie portu może nie wystarczyć
Jeśli użytkownik skonfiguruje przekierowanie portu na domowym routerze, wciąż istnieje zewnętrzna warstwa NAT należąca do operatora. Pakiet przychodzący z Internetu musi przejść przez oba translatory. Bez odpowiedniego mapowania u operatora nie dotrze do domowego routera, nawet jeśli jego lokalna konfiguracja jest poprawna. To jedna z przyczyn, dla których samodzielne hostowanie usług przez IPv4 bywa trudne przy CGN.
Adres IP przestaje być prostym odpowiednikiem urządzenia
Internetowe logi często zapisują adres źródłowy, ale CGN pokazuje, jak ostrożnie trzeba interpretować taki ślad. Jeden publiczny IPv4 może być punktem wyjścia dla ruchu wielu klientów, a jedno urządzenie może z czasem korzystać z różnych publicznych adresów. Adres pozostaje kluczowym elementem routingu, ale jego znaczenie jako identyfikatora konkretnej osoby lub sprzętu jest ograniczone.
NAT operatora zmienia znaczenie „mojego publicznego IP”
Przy Carrier-Grade NAT abonent może mieć adres z przestrzeni 100.64.0.0/10 na łączu od operatora, a dopiero urządzenie głębiej w sieci ISP tłumaczy go na publiczny IPv4 współdzielony z innymi klientami. To oznacza, że zwykłe przekierowanie portu na domowym routerze może nie wystarczyć do wystawienia usługi do Internetu: po drodze istnieje jeszcze warstwa translacji, nad którą użytkownik nie ma kontroli. RFC 6598 utworzył specjalną „Shared Address Space” właśnie dla takich wdrożeń, aby operatorzy nie musieli nadużywać zwykłych prywatnych zakresów w sposób powodujący konflikty. CGN jest więc czymś więcej niż sztuczką oszczędzania adresów — zmienia model osiągalności i pokazuje, jak niedobór IPv4 wpłynął na architekturę połączeń milionów użytkowników.