Диапазон 100.64.0.0/10 выделен для совместно используемого адресного пространства и часто встречается при CGNAT. Несовпадение WAN и внешнего IP само по себе не доказывает именно CGNAT: перед вашим роутером может стоять ещё один ваш маршрутизатор. Уточните топологию и услугу провайдера; проверяйте вход с действительно внешней сети, учитывая NAT loopback.
При CGNAT домашний роутер получает не публичный IPv4, а адрес внутренней сети провайдера. Входящий запрос из интернета сначала попадает на общий NAT оператора, где нет правила для вашего устройства, поэтому локальный port forwarding не может сработать.
Сравните WAN-адрес в панели роутера с адресом, который видят внешние сервисы. Если они различаются, а WAN находится в 100.64.0.0/10, 10.0.0.0/8, 172.16.0.0/12 или 192.168.0.0/16, между вами и интернетом есть дополнительный NAT.
Важно: Меняйте параметры роутера по одному и записывайте исходные значения. После каждого шага проверяйте тот же клиент в том же месте, иначе сравнение скорости и стабильности будет неточным.
Какие сценарии дают такое поведение
CGNAT у провайдера
Один публичный адрес делят многие абоненты, и входящие соединения не маршрутизируются напрямую.
Двойной NAT дома
Перед вашим роутером стоит модем или второй роутер с ещё одним NAT.
Проверка выполнена из своей LAN
NAT loopback может отсутствовать, хотя снаружи порт доступен.
Сервис слушает только localhost
Программа не принимает соединения на LAN-интерфейсе.
Локальный firewall
Правило роутера есть, но компьютер блокирует входящий порт.
Провайдер фильтрует порт
Даже с публичным IP некоторые входящие сервисы ограничены договором.
IPv6 доступен без настройки
Устройство имеет глобальный IPv6, но firewall не разрешает нужный сервис.
Практическая последовательность действий
- Сравните WAN и внешний IPv4. Зафиксируйте оба адреса и диапазон WAN.
- Проверьте двойной NAT. Посмотрите, является ли устройство перед роутером мостом или маршрутизатором.
- Убедитесь, что сервис слушает. Проверьте локальное подключение по LAN-адресу и нужному порту.
- Тестируйте с мобильной сети. Не используйте тот же домашний Wi-Fi для внешней проверки.
- Запросите публичный IP. У провайдера уточните динамический или статический белый IPv4 и условия.
- Используйте VPN-туннель. Выберите безопасный сервис с входящим портом или mesh-VPN для частного доступа.
- Рассмотрите IPv6. Разрешите только нужный входящий трафик в firewall и не открывайте устройство целиком.
Что показывает каждая проверка
| Наблюдение | Что вероятнее | Следующий шаг |
|---|---|---|
| WAN 100.64.x.x | CGNAT | Запросить публичный IP или туннель |
| WAN частный, модем имеет публичный | Двойной NAT | Bridge или проброс на обоих уровнях |
| Публичный IP совпадает | Не CGNAT | Проверить сервис и firewall |
| По IPv6 доступно | Глобальная IPv6-связность | Настроить firewall и DNS |
Можно ли продолжать пользоваться устройством
Удалённый доступ организуйте через VPN, а не открытием веб-камеры, RDP или панели NAS напрямую. CGNAT сам по себе защищает от случайных входящих подключений, но не заменяет безопасность устройств.
Чего не делать: Не покупайте «белый IP» у сомнительных посредников и не отключайте firewall для проверки. Не публикуйте административные интерфейсы без TLS, сильной аутентификации и обновлений.
Как снизить вероятность повторения
- Проверяйте WAN-адрес до настройки портов.
- Используйте VPN для удалённого доступа.
- Тестируйте извне домашней сети.
- Открывайте только необходимые сервисы.
Ответы на частые вопросы
Что такое 100.64.0.0/10?
Это специальный диапазон shared address space, часто используемый провайдерами для CGNAT.
Динамический публичный IP подойдёт?
Да, с DDNS, если провайдер разрешает входящие соединения.
Можно обойти CGNAT без провайдера?
Да, через исходящий VPN/mesh-туннель или глобальный IPv6 с безопасным firewall.
Локальный доступ к панели роутера проверяется отдельно: инструкция «Роутер открывается с телефона, но веб-интерфейс не загружается на компьютере».