Carrier NAT (ook wel CG-NAT genoemd) is een netwerktechniek waarbij meerdere klanten van een provider samen één publiek IPv4-adres delen. Voor een gewone gebruiker die alleen websites bekijkt valt dat niet op, maar voor zakelijke toepassingen — VPN-verbindingen vanaf buiten, externe camera-toegang, server hosting, VoIP zonder hapering — levert het concrete problemen op die u alleen oplost met een vast publiek IP-adres.
In dit artikel leggen we uit wat Carrier NAT precies doet, waarom uw provider het gebruikt, welke zakelijke functies erdoor breken, wat een vast IP-adres oplost en wanneer IPv6 een geldig alternatief is.
Wat is Carrier NAT?
Carrier NAT (Carrier-Grade Network Address Translation), afgekort CG-NAT of CGN, is een proces waarbij uw internetprovider tussen u en het publieke internet een extra vertaalstap zet zodat tientallen of honderden klanten samen één publiek IPv4-adres kunnen delen. Uw apparatuur thuis krijgt geen normaal publiek IP-adres meer, maar een privé-adres uit een speciale reeks (vaak 100.64.0.0/10).
Wanneer u een website bezoekt vertaalt de provider uw uitgaande verbinding naar het gedeelde publieke IP en houdt in een tabel bij dat het antwoord weer naar u terug moet. Voor uitgaande verbindingen werkt dat probleemloos. Voor inkomende verbindingen — iemand van buiten die juist contact met u wil opnemen — wordt het lastig: er is geen unieke identifier waarmee een inkomend pakketje weet “deze hoort bij klant X”.
Waarom gebruiken providers Carrier NAT?
De reden is praktisch en historisch: er zijn niet genoeg IPv4-adressen in de wereld. Het IPv4-adres bestaat uit 32 bits — circa 4,3 miljard combinaties — en die zijn sinds 2019 wereldwijd op. Providers die nieuwe klanten moeten aansluiten, moeten dus IP-adressen recyclen via Carrier NAT, of overstappen op IPv6. In de praktijk gebeuren beide: CG-NAT voor IPv4 en daarnaast IPv6.
Hoe weet ik of ik op Carrier NAT zit?
De eenvoudigste test is uw “publieke” IP-adres opzoeken via een dienst als ifconfig.me of whatismyipaddress.com en dat vergelijken met het IP-adres dat uw router toont op zijn WAN-interface. Als die twee verschillen — bijvoorbeeld uw router toont 100.64.x.x en de website toont een ander adres — zit u op Carrier NAT. Een echte rechtstreekse aansluiting laat hetzelfde IP-adres zien op beide plaatsen.
Bij twijfel kunt u ook bij uw provider opvragen of u op CG-NAT zit. Op consumenten-glasvezel en consumenten-5G is CG-NAT inmiddels eerder regel dan uitzondering. Op zakelijke aansluitingen zónder expliciete vermelding van een vast IP zit u meestal ook op CG-NAT.
Welke zakelijke functies breken op Carrier NAT?
Carrier NAT veroorzaakt problemen op alle scenario’s waarbij iemand van buitenaf een verbinding naar uw netwerk moet opzetten. Voor uitgaand verkeer (websurfen, e-mail, cloud-uploads) werkt CG-NAT prima; voor inkomend verkeer ontstaan blokkades.
VPN-toegang naar kantoor
Werknemers die thuis inloggen op het kantoornetwerk via een zakelijk VPN hebben een stabiel publiek IP nodig waar de VPN-server “luistert”. Als uw kantoorlocatie op CG-NAT zit, kunnen externe VPN-clients de server niet bereiken. Workarounds zoals SSL-VPN met externe broker bestaan, maar voegen complexiteit en abonnementskosten toe.
Externe camera- en NVR-toegang
Beveiligingscamera’s bekijken vanaf onderweg via uw mobiele app vereist dat de NVR (de cameracontroller) van buiten bereikbaar is. Met CG-NAT kan dat niet rechtstreeks; u bent aangewezen op de cloud-service van de camerafabrikant — die vaak een abonnement kost en uw videostream langs hun servers stuurt. Veel camera-eigenaars willen dat juist niet.
Server hosting in eigen kantoor
Eigen webserver, e-mailserver, RDP-toegang naar een werkstation, MQTT-broker voor IoT, FTP-uitwisseling met klanten: al deze scenario’s zijn vanuit het buitenland alleen bereikbaar als u een eigen vast publiek IP heeft. Op CG-NAT lukt dat niet zonder omweg.
VoIP NAT-traversal-issues
Zakelijke VoIP werkt in principe via uitgaande verbindingen, dus CG-NAT is geen showstopper. Maar de combinatie van CG-NAT met agressieve UDP-timeouts en NAT-keepalive-protocollen veroorzaakt regelmatig fenomenen als “een gesprek dat na 5 minuten vastloopt” of “klanten die wel binnenkomen maar geen audio hebben”. Een vast IP elimineert die hele klasse problemen.
Whitelisting bij externe partijen
Banken, cloud-leveranciers en partner-organisaties whitelisten vaak op IP-adres: alleen vanaf adres X is toegang tot dienst Y toegestaan. Op CG-NAT verschuift uw zichtbare IP regelmatig (verschillende klanten worden gerouteerd via verschillende NAT-pools), waardoor uw whitelist de ene week werkt en de volgende niet.
Wat is een vast publiek IP?
Een vast publiek IP-adres (ook wel statisch IP) is een IPv4-adres dat exclusief aan uw aansluiting is toegewezen en niet wijzigt. Uw router heeft dan een directe lijn naar het publieke internet — geen vertaaltabel ertussen, geen gedeeld adres. Externe systemen kunnen u eenduidig vinden via dat adres, en u kunt zonder beperking inkomende verbindingen accepteren.
Een vast IP is niet hetzelfde als een dynamisch publiek IP: dynamische IP’s worden af en toe vernieuwd door uw provider (vaak elke 24 uur of bij modemreboot). Voor sommige toepassingen (zoals webhosting met DNS) is dynamisch al een dealbreaker; voor andere (zoals een DDNS-oplossing met een vlotte updater) werkt het nog wel. Een vast IP heft alle twijfel op.
Wat lost het op?
- VPN-server in eigen pand werkt zonder externe broker
- Camera’s en NVR’s rechtstreeks bereikbaar — geen abonnement op cloudplatform nodig
- Eigen webserver, mailserver of FTP-server hosten is mogelijk
- IP-whitelisting bij banken en cloudpartners blijft stabiel
- VoIP-NAT-issues verdwijnen of nemen sterk af
- Eenvoudiger troubleshooten omdat uw verkeer eenduidig herkenbaar is
Wanneer heeft u een vast IP nodig?
Niet ieder bedrijf heeft een vast IP nodig. Het is afhankelijk van uw werkscenario. We zien deze concrete use cases bij klanten:
- Werknemers bellen via mobiele apparaten in op kantoor-VPN: vast IP sterk aan te raden
- U gebruikt camera’s of een alarmsysteem dat u zelf wilt monitoren: vrijwel verplicht
- U host eigen e-mail, web of applicatie servers: verplicht
- U gebruikt VoIP-telefonie zonder hapering: aan te raden, vooral op druk netwerk
- U integreert met externe banken/cloudpartners op IP-whitelist: aan te raden
- U bent puur afhankelijk van cloud-applicaties en SaaS: meestal niet nodig
- U bent een nieuwe aansluiting voor een retail-locatie zonder server: meestal niet nodig
Voor twijfelgevallen rekenen wij vooraf met u door welk pad het meest lonend is.
Wat met IPv6?
IPv6 is het moderne adresprotocol dat het IPv4-tekort definitief oplost. Met 128 bits per adres zijn er meer dan genoeg unieke adressen om elk apparaat ter wereld een eigen rechtstreeks IP te geven — geen NAT nodig. Op IPv6 heeft elk apparaat in uw bedrijfspand standaard al een vast publiek adres.
Klinkt als de oplossing? In theorie wel. In de praktijk is de uitrol traag: niet alle providers leveren IPv6 standaard mee, niet alle externe partners ondersteunen het, en veel bestaande zakelijke apparatuur, VPN-software en monitoring-tools werken nog primair op IPv4. Voor de komende 5 jaar geldt: IPv6 is een nuttige aanvulling, maar voor zakelijke voorspelbaarheid blijft een vast IPv4 nog standaard nodig.
Combinatie: dual-stack
De gangbare oplossing in 2026 is dual-stack: u krijgt zowel een IPv4-adres (vast publiek) als een IPv6-prefix mee. Uw eigen verkeer kiest automatisch voor IPv6 waar mogelijk, en valt terug op IPv4 waar nodig. Dat geeft u toekomstvastheid zonder dat u nu al alle interne systemen moet ombouwen.
Hoe regelt u een vast IP bij uw verbinding?
Bij ConnectSure leveren we een vast publiek IPv4-adres standaard op alle zakelijk glasvezel, FTTO en zakelijke 5G-aansluitingen. Op aansluitingen waar dat optioneel is, kost een vast IP doorgaans €5 à €10 per maand extra. Op consumentenproducten kan een vast IP soms helemaal niet — dan is een upgrade naar een zakelijk product nodig.
Stappen die we voor u doen:
1. Beschikbaarheid checken op uw lijn (niet ieder type aansluiting biedt vast IP)
2. Het vaste IP aanvragen bij de wholesale-aanbieder
3. Uw router/firewall configureren om dat IP correct te gebruiken
4. Eventueel reverse-DNS (PTR-record) instellen — relevant voor mailservers
5. Het IP en bijbehorende details aan u documenteren voor uw beheerder
Veelgestelde vragen
Krijg ik standaard een vast IP bij zakelijk internet?
Bij ConnectSure ja, op alle zakelijke glasvezel-, FTTO- en 5G-producten. Bij andere providers verschilt het — sommige leveren standaard CG-NAT en factureren een vast IP als optie. Lees altijd de productspecificatie of vraag het na.
Is een vast IP veiliger dan CG-NAT?
Niet automatisch. Een vast IP betekent dat u vanaf het hele internet bereikbaar bent — zonder behoorlijke firewall is dat juist riskanter. Met een goed geconfigureerde firewall (bijvoorbeeld FortiGate VDOM) is een vast IP echter zowel toegankelijker voor uw eigen toepassingen als veilig.
Kan ik meerdere vaste IP’s krijgen?
Ja. Op zakelijke producten zijn extra IP’s of een /29- of /28-subnet (8 of 16 IP-adressen) beschikbaar. Dat is relevant als u meerdere servers met eigen IP’s wilt draaien of als één publiek IP onvoldoende is voor uw firewall-architectuur.
Hoe groot is het verschil in kosten?
Op een typische zakelijke glasvezelaansluiting bij ConnectSure is een vast IPv4 standaard inbegrepen. Bij andere providers ligt de meerprijs tussen €5 en €15 per maand voor één IP en €15 tot €40 voor een /29-subnet. Voor 5G geldt een vergelijkbare prijszetting.
Werkt een dynamisch IP ook met DDNS?
DDNS (Dynamic DNS) is een dienst waarmee een DNS-naam automatisch meebeweegt met uw wisselende dynamische IP. Voor lichte toepassingen (een hobby-NAS thuis) werkt het. Voor zakelijke toepassingen met reverse-DNS-eisen (mailservers, IP-whitelisting bij banken) is het géén volwaardig alternatief voor een vast IP.
Heb ik een vast IP nodig voor 5G-internet?
Voor zakelijk gebruik vrijwel altijd ja. Standaard zit consumenten-5G op zware Carrier NAT — geen VPN, geen camera-toegang, geen RDP. Een zakelijk 5G-product met vast IP heft die beperkingen op.
Lost IPv6 mijn CG-NAT-probleem op?
Deels. Op IPv6 heeft u inherent een vast publiek adres. Maar als de externe partij waarmee u praat (uw klant, uw bank, uw camera-app) nog geen IPv6 ondersteunt — en dat is in 2026 vaak nog het geval — valt u terug op IPv4 en daarmee op het CG-NAT-probleem. Dual-stack met vast IPv4 is daarom voorlopig de stabiele oplossing.
Kernpunten
- Carrier NAT deelt één publiek IPv4-adres over meerdere klanten — uitgaand werkt prima, inkomend werkt niet
- VPN-server, camera-toegang, eigen server hosting en stabiele VoIP vereisen een vast publiek IP
- IPv6 lost het IPv4-tekort op maar wordt voorlopig naast IPv4 gebruikt (dual-stack), niet in plaats daarvan
- Zakelijk 5G en zakelijk glasvezel bij ConnectSure hebben standaard een vast IPv4
- Een vast IP is niet automatisch veiliger — combineer altijd met een behoorlijke firewall
- Test of u op CG-NAT zit door het IP op uw router te vergelijken met whatismyipaddress.com
Niet zeker of u op CG-NAT zit, of welk type IP-adres u nodig heeft? Vraag een gratis verbindingscheck aan — we adviseren binnen één werkdag wat past bij uw situatie en welke kosten erbij horen.