IP pública y IP gris: cómo llegar a un dispositivo tras el NAT de tu ISP

Tienes una cámara, un NAS o un servidor doméstico, y simplemente no consigues llegar a él desde fuera. La mayoría de las veces el motivo es el mismo: tu proveedor de internet (ISP) te asignó una dirección gris, y una dirección gris no acepta conexiones entrantes. A continuación verás en qué se diferencia de una pública, cómo saber cuál tienes y qué hacer cuando no tienes una IP pública: desde pedírsela a tu ISP hasta conseguir acceso prescindiendo por completo de una IP pública.

Cuál es la diferencia entre una dirección pública y una gris

Desde hace mucho no hay suficientes direcciones IPv4 para todos: el formato antiguo está agotado, y darle a cada abonado una dirección propia le sale caro al ISP. Es más barato ocultar unos cientos de clientes tras una única dirección compartida. De ahí viene la división entre públicas y grises.

Una IP pública (dedicada) es única en todo internet y está ligada a tu conexión. Se puede alcanzar desde fuera y llega exactamente a ti: no hay ninguna restricción a las conexiones entrantes.

Una IP gris (compartida/CGNAT) es una dirección de la red interna del ISP; no existe en el internet "más amplio", y cientos de vecinos tienen ahora mismo la misma dirección. Cuando abres una web, el ISP pone su propia dirección pública compartida en la petición saliente y recuerda a quién devolver la respuesta: eso es NAT. Una petición entrante, en cambio, no tiene a nadie a quien devolvérsela: llega a la dirección compartida del ISP, y no hay forma de saber a cuál de los cientos de abonados va dirigida. Por eso la cámara a la que llamas desde el trabajo no responde.

Cómo saber qué dirección tienes

La comprobación lleva un par de minutos y no necesita ningún software especial.

• En tu teléfono o tu ordenador, abre cualquier servicio que muestre tu dirección externa: busca "cuál es mi ip". Anota el número: así te ve internet.
• Abre la interfaz web de tu router y busca la dirección de la interfaz WAN. Suele estar en la página principal de estado.
• Compara los dos números. Si coinciden, tu dirección es pública y lo demás es solo configuración. Si el router muestra una dirección distinta que empieza por 100.64–100.127, 10., 192.168. o 172.16–172.31, estás tras el NAT del ISP y tu dirección es gris.

El rango 100.64.0.0/10 conviene recordarlo aparte: está reservado para la traducción de operador, conocida como CGNAT. En un router doméstico solo aparece cuando el ISP te ha puesto tras una dirección compartida. Cómo funcionan los tipos de dirección y por qué cambian se explica en detalle en el artículo sobre DNS dinámico.

Una dirección dinámica no es lo mismo que una gris

Aquí es donde mucha gente se confunde. Un ISP puede dar una dirección pública sin fijarla: cambia al reconectar o una vez al día. Eso no impide que sea pública —se puede alcanzar desde fuera y la redirección de puertos funciona—, simplemente no es permanente. Lo único que comparte con una dirección gris es ser "incómoda", pero una gris es del todo inalcanzable, mientras que una pública que cambia sí es alcanzable en su número actual.

La misma comprobación las distingue. Si la WAN del router coincide con tu dirección externa pero cambia constantemente, es una dirección pública dinámica, y el DNS dinámico oculta el número cambiante tras un nombre permanente, sin necesidad de cambiar de plan. Si la WAN es siempre distinta de la dirección externa, es gris, y el DDNS no puede hacer nada ahí por mucho que ajustes el TTL. Una sola observación de diferencia, y las soluciones son opuestas.

De dónde sale una dirección gris

El motivo es aritmético. El mundo se ha quedado sin direcciones IPv4 libres: para conseguir un bloque nuevo, un operador entra en una cola de varios años y luego paga anualmente por cada dirección. Mientras tanto hay más abonados que direcciones, sobre todo en los operadores móviles, donde una sola dirección pública da servicio a miles de conexiones. CGNAT resuelve el dilema: muchos clientes atendidos, pocas direcciones públicas gastadas.

La mayoría de la gente nunca lo nota: las webs y el vídeo no necesitan una dirección pública. Los que se topan con el muro son quienes necesitan una conexión entrante: propietarios de cámaras, servidores domésticos, equipos de domótica, cualquiera con acceso remoto a un ordenador del trabajo. Si es tu caso, esto es lo que puedes hacer al respecto.

Internet móvil

Si te conectas a través de una tarjeta SIM —un teléfono como punto de acceso, un módem USB, un router con SIM—, una dirección gris es prácticamente segura. Miles de abonados comparten una de las direcciones públicas del operador, y sencillamente no hay dónde dar a cada uno una dirección pública propia. Pedir una IP pública en una SIM normal no suele ser posible: la mayoría de operadores no la ofrecen a particulares en absoluto, y donde lo hacen es una opción de pago aparte o un plan corporativo.

Señales de que estás tras el CGNAT del operador:

• la dirección de tu dispositivo o router está en el rango 100.64.x.x–100.127.x.x;
• tu dirección externa no coincide con la de la interfaz y, además, cambia de una antena a otra;
• la redirección de puertos y los "puertos abiertos" en las apps de cámaras y torrents no dan ningún resultado desde fuera.

La conclusión: en internet móvil, de las tres opciones de abajo solo el acceso mediante proxy funciona de verdad; no necesita una dirección pública y no le importa tras qué NAT estés. Una IP pública en una SIM es casi imposible de conseguir, y mantener un túnel VPN permanente sobre un enlace móvil resulta engorroso.

Cómo conseguir acceso: tres opciones

Hay tres formas de llegar a un dispositivo tras una IP gris. No son excluyentes entre sí y se adaptan a distintos presupuestos y necesidades; en algunos casos nuestro servicio no hace falta, y así se dice sin rodeos.

IP pública del ISP

La opción más directa es llamar a tu ISP y pedir una dirección externa (también llamada pública o estática). En los operadores de cable suele ser un servicio de pago: una pequeña cuota mensual, a veces con un cargo único de activación. Una vez activada, todo encaja: la redirección de puertos en el router vuelve a tener sentido, y la cámara y el NAS se abren directamente.

Esta opción es buena cuando el ISP la ofrece, el precio encaja y quieres el menor número de intermediarios entre tú y tu dispositivo. Aquí nuestro servicio lo más probable es que no haga falta: una dirección pública más DNS dinámico (si la dirección cambia) es suficiente.

El inconveniente es que no siempre está disponible. Muchos operadores móviles no ofrecen una dirección pública en absoluto, y algunos ISP de cable la dan solo a empresas o en planes superiores. Si oyes "eso no lo ofrecemos", lo que queda es un túnel y el proxy.

Cómo pedir una IP pública y qué comprobar

Los operadores llaman al servicio de formas distintas: "IP externa", "dirección pública", "IP estática", "dirección dedicada". Con soporte basta con describir la tarea en palabras sencillas —"necesito llegar a mi cámara de casa desde internet"— y te sugerirán el plan. Vale la pena comprobar tres cosas.

• Estática o dinámica. Una estática está fijada a ti y no cambia nunca: más cómoda pero más cara. Una dirección pública dinámica es más barata y sirve igual de bien para llegar a un dispositivo: el DNS dinámico oculta el número cambiante. No tiene sentido pagar de más por una estática solo por una cámara.
• Activación única o mensual. Algunos operadores cobran una cuota fija cada mes, otros un cargo único de conexión. A largo plazo el cargo único sale más barato.
• Tipo de línea. En fibra GPON y en los operadores móviles una dirección pública se reparte con menos frecuencia: ahí ahorran direcciones con más dureza. La respuesta "no es técnicamente posible" suele referirse a la política del operador y no a la física, y es definitiva: por mucho que insistas no conseguirás la dirección.

Cuando una dirección pública no está disponible o es cara, un túnel y el proxy resuelven la tarea: el lado del ISP ya no les importa.

VPN o tu propio túnel

Aquí no abres el dispositivo hacia fuera; en su lugar, abres un canal desde dentro hacia afuera. La conexión siempre va desde tu red hacia el mundo exterior, y el NAT del ISP no se interpone en las conexiones salientes, así que una dirección gris deja de ser un obstáculo.

Se ve así: en algún sitio hay un nodo con una dirección pública —un VPS alquilado, la oficina, una segunda casa con una conexión decente— y tu router o un dispositivo aparte mantiene un enlace permanente con él, y a través de ese nodo llegas a casa. Una VPN encaja cuando necesitas estar dentro de la red doméstica en su conjunto, como si te hubieras unido a tu propia Wi-Fi, en lugar de publicar un único servicio.

El precio de esto es ese mismo nodo intermediario con una dirección pública y el lío de montarlo todo: el servidor, los clientes en los dispositivos, las claves. Excesivo para una sola cámara, razonable para acceder a toda la red doméstica. Cuando no tienes servidor propio y no te apetece configurar, el proxy asume el papel de intermediario.

Acceso mediante proxy sin IP pública

El principio de "conexión de dentro hacia afuera" es el mismo que con un túnel, solo que el intermediario es nuestra red y no tienes que levantar un servidor propio. El dispositivo o el router mantiene un enlace con Alviy, y tú llegas al servicio por un nombre permanente como home.example.com. No hace falta ninguna dirección pública: funciona igual tras CGNAT y en internet móvil.

Frente a las dos primeras opciones, esto elimina tres limitaciones a la vez:

• no hace falta IP pública: sin recargo al ISP, sin esperar a una petición, el acceso aparece donde no se puede tener una dirección pública;
• no hay que configurar una VPN en cada dispositivo: se llega al servicio por un nombre normal desde un navegador o una app, sin cliente y sin claves del lado de quien se conecta;
• la dirección del dispositivo no es visible desde fuera: lo que da la cara a internet es un nodo de red, no tu línea doméstica, así que no se escanea ni conduce a nadie hasta tu conexión. El mismo truco está detrás del proxy de sitios web y del proxy inverso para SaaS.

La única desventaja: el tráfico pasa por un intermediario, es decir, por nuestra red. Para llegar a una cámara, un NAS o un panel de administración esto da igual, y a menudo es una ventaja: la línea doméstica se queda fuera de la vista. Pero si para ti es esencial una conexión directa sin nodos intermedios y hay una dirección pública disponible, esa es la elección sensata.

Cuánto cuesta

La elección suele reducirse al dinero. El orden aproximado es este:

• IP pública del ISP: una cuota recurrente, lo más habitual un par de dólares al mes, a veces con una activación única. No hay nada más que pagar, pero tampoco hay nada que pagar de más pueda hacer: si el ISP no ofrece el servicio, el dinero no lo resuelve.
• Tu propio VPS para un túnel o una VPN: alquilar un servidor con una dirección pública cuesta más o menos lo mismo al mes, más tu tiempo para montarlo y mantenerlo en marcha. Merece la pena cuando ya tienes un servidor o necesitas uno para otras cosas.
• Acceso mediante proxy: una suscripción de un orden similar al de pagar por una IP pública, pero funciona donde no se puede tener una dirección pública, y sin un servidor propio. Los precios actuales están en la página de precios.

Si el ISP da una dirección pública a un precio que te conviene, tómala: no hay camino más corto. Si no hay dirección pública o es exageradamente cara, la elección entre tu propio VPS y el proxy se reduce a una cosa: si estás dispuesto a administrar un servidor.

IPv6: cuando una IPv4 gris no es un callejón sin salida

Una IPv4 gris tiene una solución alternativa que la gente suele olvidar. Algunos ISP reparten IPv6 completa junto a la IPv4 gris, y entonces cada dispositivo de la casa recibe su propia dirección IPv6 global: única y alcanzable desde fuera directamente, sin ningún NAT. Las direcciones IPv6 son abundantes; no hay razón para ocultar clientes tras una compartida.

Es fácil de comprobar: mira si el router da a los dispositivos direcciones del estilo 2a0… además de las habituales 192.168.x.x. Si lo hace, se puede llegar a la cámara o al servidor por su dirección IPv6 o por un nombre con un registro AAAA en la zona.

Dos salvedades impiden que IPv6 salve siempre la situación. El IPv6 entrante suele estar bloqueado por el cortafuegos del router: permites el dispositivo y el puerto concretos a mano. Y solo puede conectarse quien tenga IPv6 él mismo: en internet móvil casi siempre lo hay, en redes de oficina y corporativas ni de lejos en todas partes. Así que IPv6 es bueno como complemento, mientras que el acceso fiable desde cualquier lugar sigue viniendo de una IPv4 pública o del proxy.

Redirección de puertos con una IP gris: por qué no funciona

Aquí es donde más tropieza la gente. Lees el manual de la cámara, entras en el router, configuras con cuidado la redirección de puertos, y nada. La configuración no tiene nada que ver: con una IP gris, la redirección de puertos es inútil por definición.

La redirección de puertos es una regla en tu router: "envía todo lo que llegue desde fuera por el puerto 8080 a la cámara en 192.168.1.50". Se dispara cuando una petición externa llega a tu router. Con una dirección gris la frontera está más arriba, en el router del ISP, al que no tienes acceso. La petición se detiene en la dirección compartida del ISP y nunca llega a tu router: no hay nada que redirigir. Estás configurando la última puerta de la cadena mientras todo se atasca en la primera.

Se verifica rápido: configura la redirección y conéctate no desde casa, sino por internet móvil. Desde dentro de la red doméstica muchos routers se responden a sí mismos y crean la falsa impresión de que todo funciona. Si sigue sin haber acceso desde fuera y la dirección es gris, la redirección es impotente aquí.

La salida depende de si hay una dirección pública. Si necesitas específicamente la redirección, consigue primero una IP pública del ISP y la regla funcionará. Sin dirección pública, lo que deja pasar "de fuera hacia dentro" no es la redirección sino una conexión de dentro hacia afuera: un túnel o el acceso mediante proxy. En ese caso un intermediario expone el puerto del dispositivo, no tu router, y la dirección gris deja de estorbar.

Doble NAT: hay una dirección pública, pero sigue sin haber acceso

Una trampa aparte que es fácil confundir con una IP gris. La dirección del ISP es pública, la redirección está configurada al pie de la letra, y sin embargo desde fuera hay silencio. La causa son dos routers en fila: el equipo del ISP (un terminal óptico o su router) funciona en modo router, y detrás de él está tu propio router. La dirección pública acaba en el primer dispositivo, tu redirección en el segundo, y entre ambos se esconde otro NAT.

La misma comprobación de dirección lo delata: la WAN de tu router no muestra una dirección pública sino algo del rango 192.168.x.x, una dirección de la red del primer dispositivo, no de internet. Formalmente la dirección parece gris, pero el culpable no es el ISP; es un eslabón de más dentro de tu casa.

Hay dos soluciones. Pones el primer dispositivo en modo puente: entonces la dirección pública llega directamente a tu router y la redirección cobra vida. O configuras la redirección en ambos dispositivos en cadena, pero eso es frágil y se rompe con cada cambio de dirección. El modo puente es el más fiable; cómo activarlo te lo dirá el soporte del ISP o el manual de su equipo.

Merece la pena exponer un dispositivo directamente a internet

Incluso cuando hay una IP pública y la redirección funciona, exponer un dispositivo directamente a internet es arriesgado, y conviene saberlo de antemano. Cualquier puerto abierto hacia fuera lo repasan las veinticuatro horas los escáneres automáticos: los bots recorren direcciones una a una a la caza de cámaras, routers y NAS con contraseñas de fábrica y agujeros conocidos. Una cámara con el admin/admin por defecto acaba en la botnet de alguien muy rápido.

Así que con acceso directo el mínimo es esto:

• cambia las contraseñas de fábrica y, donde puedas, activa un segundo factor;
• no dejes expuestos los puertos de gestión estándar;
• restringe el acceso por una lista de direcciones si te conectas desde los mismos sitios;
• mantén el firmware actualizado: son las versiones antiguas las que pillan los escáneres automáticos.

Ese es un argumento más a favor del acceso mediante proxy incluso con una dirección pública: la dirección y el puerto reales del dispositivo no son visibles desde fuera, así que no hay nada que escanear. Detrás de la "puerta" está un nodo de red, no la cámara en sí.

Qué elegir para tu tarea

El método depende no solo del tipo de dirección, sino también de qué es exactamente lo que conectas.

Por dónde empezar

Alviy cubre la tercera opción: acceso a un dispositivo tras una IP gris por un nombre permanente, sin dirección pública y sin una VPN que configurar en cada cliente. Cuando la dirección es pública y simplemente cambia, la tarea es más sencilla: el DNS dinámico se encarga, y los nombres y la zona son cómodos de gestionar en el hosting DNS.

Del lado del dispositivo, la configuración se reduce a actualizar la dirección, y el sitio más fácil es el router. Hay guías listas para modelos populares —Keenetic y Padavan— y el procedimiento general para cualquier router está en la guía de configuración. Cuando el firmware del router no se lleva bien con el servicio que necesitas, el mismo cliente va en un ordenador, un servidor o un NAS: las opciones están en la documentación del cliente.

FAQ

¿Puedo obtener una IP pública gratis? Normalmente no: los proveedores de cable la cobran, y los operadores móviles casi nunca la ofrecen. Para llegar a un dispositivo sin una IP pública de forma gratuita, usa el acceso mediante proxy o, si tu proveedor lo ofrece, IPv6.

¿Es peligrosa una IP gris? Más bien al contrario: tras el NAT del proveedor estás menos expuesto, nadie puede alcanzarte desde fuera y los escáneres de puertos pasan de largo. La única desventaja de una dirección gris es que no se puede alcanzar desde internet.

'Cuál es mi IP' muestra una dirección normal, pero sigue sin haber acceso. ¿Por qué? Ese tipo de servicio muestra la dirección con la que salió tu petición, la dirección compartida del proveedor y no la tuya. Compárala con la dirección de la interfaz WAN de tu router; si son distintas, tu dirección es gris.

¿Ayudará cambiar el router o su firmware? No. El tipo de dirección lo asigna el proveedor de su lado; los equipos de tu casa no influyen en ello. Otro router cambia lo cómoda que resulta la configuración, pero no convertirá una dirección gris en una pública.

¿Por qué no se redirige nada en internet móvil? Una dirección móvil es casi siempre gris, tras CGNAT. La redirección de puertos es inútil ahí por la misma razón que en cualquier IP gris, y lo que ayuda es el acceso mediante proxy.

En resumen: primero averigua el tipo de dirección, si la WAN del router coincide con la externa. Una dirección pública significa que basta con la redirección de puertos, más DNS dinámico si cambia. Una dirección gris cierra la redirección para siempre: lo que queda es o sonsacarle una IP pública al ISP o arreglárselas sin ella, con tu propio túnel o con el proxy a través de nuestra red. En internet móvil, solo esto último funciona de verdad.