CGNAT o comprar IPv4: comparativa técnica para operadores

CGNAT o comprar IPv4. Esa es la disyuntiva a la que se enfrentan hoy la mayoría de operadores, ISP y proveedores de hosting cuando el pool de direcciones disponibles no da abasto ante el crecimiento de su base de clientes. Aquí comparamos ambas opciones desde el punto de vista técnico y económico: coste por suscriptor, complejidad de despliegue, impacto en servicios como port forwarding o juegos online, y la vía intermedia que muchos operadores están adoptando en 2024.

El contexto: escasez de IPv4 y crecimiento del tráfico

El agotamiento de IPv4 ya no es una amenaza futura. Es presente. RIPE NCC agotó su pool disponible en noviembre de 2019 y desde entonces opera una lista de espera, mientras ARIN y APNIC mantienen políticas tan restrictivas que solo liberan bloques de /22 en casos muy concretos. La consecuencia directa: el mercado secundario de direcciones IPv4 se ha convertido en la principal fuente de espacio de direccionamiento para operadores en Europa y América Latina.

Y los precios lo reflejan. Un bloque /24 (256 direcciones) se cotiza ahora en una horquilla aproximada de 30 a 50 USD por dirección en el mercado libre, es decir, entre 7.500 y 12.000 USD por bloque, con tendencia al alza según la demanda. Hagan cuentas: para un ISP regional con 10.000 abonados, dotar de una dirección pública por suscriptor resulta sencillamente inviable. Estamos hablando de cientos de miles de dólares solo en adquisición. Sin contar los costes de transferencia y binding ante el RIPE NCC.

A la vez, el tráfico por abonado no deja de crecer, empujado por el streaming en 4K, el teletrabajo y la domótica. Cada cliente nuevo exige conectividad, claro. Pero ¿necesita necesariamente una dirección pública única? Ahí está la clave. La pregunta no es solo «¿compro IPv4 o no?», sino «¿cuántas direcciones necesito realmente y qué tecnología me permite operar con las mínimas posibles?».

Qué es CGNAT y cómo funciona en la práctica

CGNAT (Carrier-Grade NAT, definido en el RFC 6598) es la técnica que permite compartir una misma dirección IPv4 pública entre cientos o miles de suscriptores mediante NAT de gran escala. El operador asigna direcciones privadas del rango 100.64.0.0/10 (shared address space, reservado exclusivamente para este uso) en el lado del cliente y realiza la traducción en un equipo de borde: un router de la serie ASR de Cisco, un MX de Juniper, un Nokia 7750 o una función virtualizada en el núcleo de red.

En un despliegue típico, la relación de compresión (ratio) más habitual es de 1:100 o 1:200. Por ejemplo, con un único /24 público se pueden servir entre 25.000 y 50.000 abonados en modo determinista. Los ratios más agresivos (1:500 o superiores) solo son viables con logging de flujos o con EAM (Explicit Address Mapping), para poder responder a los requerimientos legales de trazabilidad cuando llegan. Y llegan.

• Determinista (block-based): cada cliente recibe un puerto fijo o un rango de puertos asignado estáticamente. Sin necesidad de logs, trazabilidad inmediata.
• Dinámico con logging: asignación de puertos bajo demanda, requiere almacenar millones de registros de traducción (syslog o streaming a un colector).
• DS-Lite y MAP-T: variantes orientadas a IPv6 que trasladan el NAT al lado del operador o del cliente, recomendables si ya despliegas IPv6 en acceso.

Los problemas conocidos del CGNAT son reales, no teóricos. Las aplicaciones que requieren conectividad entrante (consolas, cámaras IP, servidores caseros) dejan de funcionar. Algunos servicios bancarios y antifraude marcan direcciones compartidas como sospechosas. Y la reputación de las IP compartidas afecta al envío de correo. Por eso, incluso los operadores más proclives al CGNAT suelen reservar direcciones públicas reales para clientes business o servicios premium.

CGNAT o comprar IPv4: ¿qué opción sale mejor a cuentas?

Para dimensionar la decisión, comparemos ambas opciones en un escenario realista: un ISP con 10.000 abonados que crece un 15% anual y necesita espacio inmediato.

Opción A: desplegar CGNAT

• Inversión inicial: un chasis CGNAT capaz de manejar 10-20 Gbps de NAT se sitúa entre 20.000 y 60.000 USD, o un fee mensual si se virtualiza en el datacenter.
• Direcciones necesarias: 1 o 2 bloques /24 públicos, con un coste de adquisición mínimo comparado con dotar a cada abonado.
• Costes recurrentes: soporte de hardware, almacenamiento de logs si se usa NAT dinámico (puede requerir TB/mes), y sobrecoste de soporte al cliente por incidencias de conectividad entrante.

Opción B: comprar IPv4 en el mercado secundario

• Inversión inicial: a 40 USD/dirección, cubrir 10.000 abonados con una IP c/u costaría unos 400.000 USD. Inviable para la mayoría.
• Alternativa realista: comprar 2-4 bloques /24 (unos 20.000-50.000 USD) para clientes premium, servicios entrantes y reputación de correo, combinándolos con CGNAT para el resto.
• Requisitos: transferencia entre miembros LIR o a través de un broker, actualización del objeto inetnum en la base RIPE, documentación de uso y, cada vez más, creación de ROA para RPKI.

La viabilidad técnica, por su parte, depende de tu plataforma. Si tu red de acceso ya soporta IPv6 de forma nativa, DS-Lite o MAP-T reducen la presión sobre IPv4 y alargan la vida útil de los bloques que compres. Si operas solo en IPv4, las cosas se complican: el ratio de compresión y la calidad del logging serán tus variables críticas de diseño.

Limitaciones del CGNAT: gaming, geolocalización y abuso

El CGNAT resuelve la escasez de direcciones, sí. Pero también introduce fricciones que el equipo de soporte acaba gestionando cada semana. El primer dolor de cabeza es el gaming y las aplicaciones P2P: las consolas clasifican las redes CGNAT como NAT «estricto» o «moderado», con lo que aparecen fallos en el chat de voz, partidos multijugador que se quedan sin conexión y tickets recurrentes en soporte. Hay soluciones parciales —UPnP en el B4 element, rangos de puertos reservados (port forwarding predeterminado)— que mitigan el problema, pero consumen recursos del CGNAT y complican la planificación de puertos por abonado. No es gratis.

El segundo bloque es la geolocalización. Muchos bloques CGNAT, sobre todo los comprados de segunda mano, arrastran la reputación geográfica de su uso anterior: las bases de datos de GeoIP pueden situar el bloque en otro país o región, y eso afecta a streaming, banca online y publicidad. Antes del despliegue conviene solicitar correcciones a MaxMind, IP2Location y Google. Tómate en serio ese trámite: puede tardar semanas.

Y luego está el tercero, el más delicado de todos: el abuso y la reputación. Cientos de abonados compartiendo una IP pública significan que una sola infección de malware o una campaña de spam penaliza a todos los que están detrás del mismo prefijo. Por eso los operadores necesitan logging determinista (syslog hacia un recolector externo, con retención conforme a la normativa aplicable): para responder a requerimientos judiciales y a quejas de listas negras como Spamhaus.

El mercado secundario de IPv4: precios y proceso de transferencia

¿Y si en vez de apretarse con el CGNAT se compran direcciones? Es la alternativa. Los precios, tras el pico de 2021, se han estabilizado: un /24 en la región RIPE se mueve habitualmente entre 25 y 40 USD por dirección, y en ARIN puede salir algo más barato. Para necesidades temporales —o para validar un ratio CGNAT antes de invertir— está el alquiler, que ronda los 0,30-0,50 USD por IP y mes.

En el caso de RIPE NCC, la transferencia sigue estos pasos:

1. Verificar que el bloque está «allocated» o «assigned» y libre de conflictos en el registro.
2. Comprobar que no hay ROA activos que bloqueen tu AS de origen; si los hay, acordar su eliminación con el vendedor.
3. Firmar el contrato de transferencia y someterlo al RIPE NCC, que cobra una tasa por transacción.
4. Actualizar la base de datos RIPE, crear los objetos inetnum, mnt-by y route/route6, y publicar tu propio ROA con RPKI.
5. Esperar la propagación en bases GeoIP y listas de reputación antes de anunciar el prefijo. Sin prisa.

El riesgo principal, eso sí, son los bloques contaminados: listados en blacklist, con historial de abuso o con contratos de arrendamiento vigentes que nadie declaró. Trabajar con una plataforma como IP4 Market, que ofrece vendedores verificados y precios competitivos, reduce drásticamente ese riesgo, porque valida la titularidad, la limpieza del bloque y el estado del registro antes de cerrar la operación.

Conclusión: qué solución elegir según tu caso

La decisión entre CGNAT o comprar IPv4 no es binaria. Es una cuestión de coste, control y experiencia de usuario. Como referencia accionable:

• WISP o ISP pequeño en crecimiento: alquila uno o dos /24 para validar el ratio y despliega CGNAT con ratio 8:1 o 16:1 mientras acumulas capital.
• Operador consolidado con base residencial amplia: combina CGNAT para el grueso de abonados con un /24 propio para clientes business y servicios críticos.
• Proveedor de hosting o servicios cloud: compra directamente. Tus clientes esperan IPs dedicadas, reversales DNS y sin restricciones de puertos, y eso el CGNAT no lo puede dar.
• Proyectos temporales o PoC: el alquiler mensual evita una inversión de decenas de miles de euros que quizá no amortices.

Sea cual sea el camino, planifica IPv6 en paralelo. Es la única solución estructural a largo plazo, y cada punto de tráfico que migras reduce la presión sobre tus IPv4. Y si decides comprar, verifica titularidad, reputación y estado RPKI del bloque antes de pagar; en IP4 Market tienes una plataforma con vendedores verificados y precios competitivos que cubre justo ese proceso de diligencia debida.