Wat is CGNAT?
CGNAT, ook geschreven als CG-NAT en voluit carrier-grade NAT, is een techniek waarbij een internetaanbieder één publiek IPv4-adres deelt tussen tientallen of honderden klanten. Uw router krijgt dan geen eigen publiek adres. Websites bekijken gaat daar prima mee. Een VPN naar kantoor, camera’s op afstand bekijken of een eigen server draaien lukt alleen met een vast publiek IP-adres.
Zo werkt CGNAT
Uw router krijgt geen eigen publiek adres, maar een adres uit een reeks die de leverancier deelt tussen zijn klanten, vaak 100.64.0.0/10, de reeks 100.64.0.0 tot 100.127.255.255 die voor CGNAT is gereserveerd. Vanaf internet is dat adres niet te bereiken. De internetleverancier vertaalt uw uitgaande verkeer naar het gedeelde publieke adres. In een tabel houdt hij bij waar het antwoord heen moet.
Voor uitgaand verkeer werkt dat zonder problemen. Wil iemand van buiten juist contact met u maken, dan loopt het vast. Aan een binnenkomend pakketje is niet te zien dat het bij u hoort.
Er zijn te weinig IPv4-adressen
Een IPv4-adres bestaat uit 32 bits, goed voor ongeveer 4,3 miljard combinaties. Die zijn in Europa sinds 2019 op. Netwerken die nieuwe klanten aansluiten, delen adressen daarom via CGNAT en bieden daarnaast IPv6.
Zo ziet u of u achter CGNAT zit
Zoek uw publieke IP-adres op via ifconfig.me of whatismyipaddress.com. Vergelijk dat met het WAN-adres dat uw router toont. Toont de router bijvoorbeeld 100.64.x.x en de website een ander adres, dan zit u achter CGNAT. Bij een rechtstreekse aansluiting zijn beide adressen gelijk. Ook een WAN-adres dat met 10. begint, wijst op CGNAT als er geen ander modem vóór uw router staat; mobiele netwerken gebruiken die reeks vaak.
Op consumentenglasvezel en consumenten-5G is CGNAT eerder regel dan uitzondering. Ook zakelijke aansluitingen zonder vermeld vast IP-adres zitten er meestal achter. Op mobiel komt het steeds vaker voor. Odido heeft de standaard-APN “internet” al omgezet. Simkaarten op die APN krijgen een niet-publiek adres achter CGNAT; voor een publiek adres zijn er andere APN’s. Werkt uw camera of VPN ineens niet meer terwijl er aan uw apparatuur niets veranderde, kijk dan eerst hier.
Inkomende verbindingen lopen vast achter CGNAT
Alles waarbij iemand van buiten een verbinding met uw netwerk opzet, gaat mis. Websurfen, e-mail en uploads naar de cloud werken wel.
Een VPN-server op kantoor is onbereikbaar
Medewerkers die thuis inloggen op het kantoornetwerk, hebben een vast publiek adres nodig waarop de VPN-server luistert. Achter CGNAT vinden ze die server niet. Omwegen via een externe tussendienst bestaan, maar kosten extra abonnementsgeld en beheer.
Camera’s zijn alleen via de fabrikant bereikbaar
Om camera’s onderweg te bekijken, moet de recorder (NVR) van buiten bereikbaar zijn. Achter CGNAT bent u aangewezen op de clouddienst van de fabrikant. Die kost vaak een abonnement en stuurt uw beelden langs hun servers.
Een eigen server hosten lukt niet
Een webserver, mailserver, extern bureaublad (RDP), IoT-server of FTP-uitwisseling met klanten is van buiten alleen bereikbaar met een eigen vast adres.
Toegangslijsten op IP-adres werken wisselend
Banken, cloudleveranciers en partners geven vaak alleen toegang vanaf vooraf opgegeven adressen (een whitelist). Achter CGNAT verschuift uw zichtbare adres regelmatig. De toegang werkt dan de ene week wel en de volgende niet.
Een vast IP-adres is alleen van u
Een vast publiek IP-adres, ook statisch IP genoemd, hoort alleen bij uw aansluiting en verandert niet. Er zit geen vertaaltabel tussen uw router en internet. Andere systemen vinden u steeds op hetzelfde adres en u kunt inkomende verbindingen toelaten.
Een dynamisch publiek adres is iets anders. Dat vernieuwt de leverancier af en toe, vaak elke 24 uur of na een herstart van het modem. Met een dienst die uw DNS-naam automatisch bijwerkt (DDNS) werkt dat voor lichte toepassingen nog. Voor mailservers en toegangslijsten bij banken is het te onbetrouwbaar.
Dit lost een vast adres op
- Een VPN-server in uw eigen pand werkt zonder externe tussendienst
- Camera’s en recorders zijn rechtstreeks bereikbaar, zonder cloudabonnement
- U kunt een eigen web-, mail- of FTP-server draaien
- Toegangslijsten bij banken en cloudpartners blijven stabiel
Niet elk bedrijf heeft een vast adres nodig
Het hangt af van hoe u werkt. Dit zien we bij klanten:
- Medewerkers loggen in op een VPN naar kantoor: sterk aan te raden
- U bekijkt zelf camera’s of een alarmsysteem: vrijwel altijd nodig
- U draait een eigen e-mail-, web- of applicatieserver: nodig
- U koppelt met banken of cloudpartners op IP-adres: aan te raden
- U werkt alleen met cloudsoftware: meestal niet nodig
- U heeft een winkel zonder eigen server: meestal niet nodig
IPv6 is voorlopig een aanvulling op IPv4
IPv6 lost het tekort aan adressen op. Met 128 bits per adres krijgt elk apparaat een eigen publiek adres, zonder vertaling. In de praktijk gaat de invoering traag. Niet elk netwerk levert IPv6 standaard en niet elke externe partij ondersteunt het. Ook veel zakelijke apparatuur, VPN-software en monitoring is nog afhankelijk van IPv4.
Dual-stack combineert beide
Gangbaar is dual-stack: u krijgt een vast IPv4-adres en daarnaast een reeks IPv6-adressen. Uw verkeer gebruikt IPv6 waar dat kan en valt anders terug op IPv4. Zo hoeft u uw interne systemen nu nog niet om te bouwen.
Bij FTTO zit een vast adres standaard
Bij een eigen glasvezellijn (FTTO) zit standaard een vast IPv4-adres. Bij gedeelde glasvezel hangt het af van het netwerk en het abonnement; dat zeggen we vooraf. Bij 5G en datakaarten hangt het af van de variant. De buitenantenne Premium en de buitenantenne als reservelijn hebben een vast adres. De buitenantenne Standaard en het 5G-modem binnen krijgen een adres dat kan wijzigen. Een reservekaart heeft standaard geen vast adres. Op een datakaart is een vast adres een aparte variant van het abonnement. De bedragen staan bij 5G en bij de datakaarten. Op consumentenproducten kan een vast adres soms helemaal niet.
Wat we voor u regelen:
- Nagaan of uw type aansluiting een vast adres ondersteunt
- Het adres aanvragen bij het netwerk
- Uw router of firewall instellen
- Zo nodig een naam aan uw adres koppelen (reverse DNS, een PTR-record), belangrijk voor mailservers
- Het adres en de gegevens vastleggen voor uw beheerder
Veelgestelde vragen
Hoe weet ik of ik achter CGNAT zit?
Vergelijk het WAN-adres in uw router met het publieke adres dat een site als ifconfig.me toont. Zijn ze verschillend en begint het WAN-adres met 100.64 tot 100.127, dan zit u achter CGNAT. Zijn ze gelijk, dan heeft u een eigen publiek adres. Of dat adres vast is, staat in uw contract.
Wat is het verschil tussen NAT en CGNAT?
Uw eigen router doet al NAT: hij vertaalt de interne adressen van uw computers naar het ene publieke adres van uw aansluiting. Bij CGNAT doet de aanbieder dat nog een keer in zijn netwerk, zodat ook dat publieke adres gedeeld wordt met andere klanten. Uw verkeer gaat dan door twee vertalingen en is van buiten niet te bereiken.
Krijg ik standaard een vast IP-adres bij zakelijk internet?
Bij een eigen glasvezellijn (FTTO) wel. Bij gedeelde glasvezel hangt het af van het netwerk en het abonnement. Bij 5G en datakaarten hangt het van de variant af. Dat zeggen we vooraf. Andere leveranciers leveren soms standaard CGNAT en rekenen een vast adres als optie. Kijk in de productspecificatie of vraag het na.
Is een vast IP-adres veiliger dan CGNAT?
Niet vanzelf. Met een vast adres bent u vanaf het hele internet bereikbaar, dus zonder goede firewall is het risico groter. Met een goed ingestelde firewall is dat risico klein.
Kan ik meerdere vaste IP-adressen krijgen?
Ja. Op zakelijke producten zijn extra adressen mogelijk, of een reeks van 8 of 16 adressen (een /29 of /28). Dat is nodig als u meerdere servers met een eigen adres draait of uw firewall meer dan één adres vraagt.
Wat kost een vast IP-adres?
Dat verschilt per netwerk en per product. Bij een eigen glasvezellijn (FTTO) krijgt u standaard een vast IPv4-adres. Heeft u meer adressen nodig, dan kan er een groter blok bij. Bij een datakaart is een vast adres een aparte variant met een eigen prijs. De bedragen staan bij de datakaarten.
Heb ik een vast IP-adres nodig voor 5G-internet?
Voor zakelijk gebruik bijna altijd. Consumenten-5G zit achter zware CGNAT, dus een VPN, cameratoegang of RDP werkt daar niet. Ook het woord zakelijk is niet genoeg. Sommige zakelijke varianten geven een publiek adres dat af en toe wijzigt, en dan loopt een VPN of toegangslijst alsnog stuk. Vraag bij zakelijk 5G dus expliciet naar een vast adres.
Lost IPv6 mijn CGNAT-probleem op?
Deels. Met IPv6 heeft u een eigen publiek adres. Ondersteunt de partij waarmee u verbindt nog geen IPv6, en dat komt in 2026 nog vaak voor, dan valt u terug op IPv4 en dus op CGNAT. Dual-stack met een vast IPv4-adres is daarom voorlopig de stabiele keuze.
Kernpunten
- Bij CGNAT (CG-NAT, carrier-grade NAT) delen klanten één publiek IPv4-adres: uitgaand verkeer werkt, inkomend niet
- Een VPN-server, camera’s op afstand en een eigen server vragen een vast publiek adres
- IPv6 wordt voorlopig naast IPv4 gebruikt (dual-stack)
- Bij FTTO krijgt u standaard een vast IPv4-adres, en een groter blok kan erbij; bij 5G en datakaarten hangt het van de variant af
- Een vast adres hoort samen te gaan met een goed ingestelde firewall
Bij een eigen glasvezellijn (FTTO) krijgt u standaard een vast IPv4-adres. Heeft u meer adressen nodig, dan kan er een groter blok bij. Check uw adres om te zien of FTTO bij u kan.