CGNAT, doble NAT y cámaras IP: cómo ver tu casa desde fuera sin volverte loco
Actualizado: 14 de noviembre de 2025
Si tus cámaras IP y dispositivos de domótica funcionan bien dentro de casa pero, al salir, la app se queda cargando o no conecta, es muy posible que el problema no sea la cámara, sino el CGNAT o la doble NAT de tu operador. Estás pagando fibra, has abierto puertos y probado mil tutoriales, pero sigues sin poder ver tu casa desde fuera. En esta guía verás qué es realmente el CGNAT con cámaras IP, cómo saber si lo sufres y qué opciones tienes para recuperar el acceso remoto: IP pública, VPN o relés seguros.
Qué es NAT, doble NAT y CGNAT en una instalación doméstica
Tu router hace varias cosas a la vez, pero una de las más importantes es el NAT (Network Address Translation): traduce la única IP pública que te da el operador en muchas IP privadas para tus dispositivos de casa.
- NAT “normal”: tu router tiene una IP pública en su interfaz WAN (por ejemplo, 85.x.x.x) y reparte IP privadas (192.168.x.x) dentro de casa. Si abres un puerto, puedes redirigir tráfico desde fuera hacia una cámara IP concreta.
- Doble NAT: además de tu router, hay otro router haciendo NAT delante (típico cuando usas el router del operador + un router neutro sin poner el primero en modo puente). El tráfico entra por dos “capas” de NAT y los reenvíos de puertos se complican.
- CGNAT: el operador mete a muchos clientes detrás de un NAT gigante en su red. Tu router ya no tiene una IP pública real, sino una IP privada “grande” (a menudo 100.64.x.x). Desde fuera de Internet no hay forma directa de llegar a tus cámaras IP.
Con NAT normal puedes abrir puertos y exponer servicios. Con CGNAT o doble NAT mal resuelta, el típico “port forwarding” deja de funcionar o se vuelve muy inestable.
Cómo detectar si tienes CGNAT o doble NAT
Antes de cambiar de operador o contratar nada, conviene confirmar qué tienes exactamente. Tres comprobaciones rápidas:
1. Comparar tu IP pública “real” con la IP WAN del router
Desde un ordenador conectado por cable o WiFi:
- Entra en una web de “¿cuál es mi IP?” y apunta la IP que te muestra.
- Accede a la configuración del router y mira la IP de la interfaz WAN.
Si la IP WAN del router coincide con la IP pública, estás en un escenario de NAT normal (o doble NAT solo dentro de casa). Si la IP WAN es de un rango privado (10.x.x.x, 172.16–31.x.x o 192.168.x.x) o del bloque 100.64.x.x, es muy probable que estés en CGNAT.
2. Buscar el mensaje de doble NAT en tu router neutro
Muchos routers neutros y sistemas mesh avisan cuando detectan doble NAT (por ejemplo, si el router del operador sigue haciendo NAT). Si ves mensajes del tipo “Double NAT detected” o “Router behind NAT”, ya sabes que hay dos equipos en cadena traduciendo direcciones.
3. Probar un redireccionamiento simple de puertos
Configura temporalmente un reenvío de puertos hacia un dispositivo sencillo (por ejemplo, una interfaz web de prueba) y analiza:
- Si desde fuera no llegas de ninguna manera, y además la IP WAN del router no es pública, el problema es casi seguro CGNAT.
- Si solo funciona a veces y tienes dos routers, es muy probable que tengas doble NAT entre el router del operador y el tuyo.
Por qué el CGNAT bloquea cámaras IP y domótica
Las cámaras IP clásicas y muchos sistemas de domótica “local” están diseñados pensando en que el usuario puede abrir puertos en el router. El flujo típico es:
- Un dispositivo externo (tu móvil fuera de casa) intenta conectarse a la IP pública de tu casa en un puerto concreto.
- El router recibe esa conexión y, gracias al port forwarding, la envía a la cámara IP o al servidor domótico.
Con CGNAT, ese primer paso ya no existe: tu casa no tiene una IP pública propia visible desde Internet. Con doble NAT, sí hay IP pública, pero la conexión tiene que atravesar dos capas de traducción de puertos y cualquier fallo en la cadena rompe el acceso remoto.
Algunos fabricantes de cámaras y hubs domóticos usan sus propios servicios en la nube para rodear parcialmente el problema (la cámara inicia una conexión saliente a sus servidores y tú te conectas a esos servidores), pero cuando quieres gestión avanzada o acceso directo (NVR propio, Home Assistant, RTSP, etc.), el CGNAT vuelve a bloquearte el paso.
Soluciones prácticas: IP pública, VPN o relés
No hay una única bala de plata. La solución correcta depende de cuánto control quieres, cuánto estás dispuesto a pagar al mes y qué nivel de complejidad técnica aceptas. Vamos por partes.
Opción 1: Salir de CGNAT y pedir IP pública (fija o dinámica)
Es la solución más limpia cuando tu operador lo permite. Consiste en llamar y solicitar salir de CGNAT (que tu conexión tenga una IP pública propia) y, si te interesa, contratar una IP fija.
Ventajas: mantienes un esquema clásico: IP pública → router → port forwarding hacia cámaras IP, NVR o servidor domótico.
Inconvenientes: algunos operadores cobran un extra mensual o simplemente no ofrecen esta opción en tarifas residenciales.
Opción 2: Eliminar la doble NAT en casa
Si el problema es que tienes el router del operador + un router neutro, lo correcto es poner el router del operador en modo puente (bridge/monopuesto) o bien convertirlo en un simple “ONT” y dejar que el router neutro haga todo el trabajo.
Ventajas: simplificas la red, los puertos se abren solo en un equipo y los sistemas mesh funcionan mejor, especialmente si ya usas backhaul Ethernet.
Inconvenientes: requiere algo de coordinación: a veces necesitas que el operador cambie parámetros o que tú ajustes la VLAN de Internet en el router nuevo.
Opción 3: Usar una VPN saliente (IP pública “prestada”)
Si no puedes salir de CGNAT, la alternativa es que tu casa se conecte hacia fuera a un servidor con IP pública (por ejemplo, una VPN comercial con IP dedicada o un pequeño servidor en la nube) y tú accedas a las cámaras a través de esa VPN.
Ventajas: sortea el CGNAT sin depender del operador; puede ser muy seguro si lo configuras bien.
Inconvenientes: mayor complejidad técnica inicial, suscripción mensual al servidor o VPN y necesidad de gestionar usuarios y claves.
Opción 4: Redes tipo “relé” (Tailscale, Zerotier, túneles de fabricante)
Otro enfoque es instalar en casa un cliente de red privada tipo Tailscale/Zerotier o usar el servicio en la nube del propio hub domótico. Todos los dispositivos se ven como si estuvieran en la misma LAN aunque estén en Internet.
Ventajas: no necesitas abrir puertos ni IP pública propia; el tráfico suele ir cifrado extremo a extremo.
Inconvenientes: dependes de un tercero (o del fabricante) para que el relé funcione; no siempre es ideal para NVR o flujos de vídeo muy pesados.
Guía de decisión rápida según tu caso
Escenario A: cámaras IP clásicas + NVR propio
Prioridad: acceso directo por puerto (RTSP, web, app propia).
Recomendado: salir de CGNAT y eliminar la doble NAT. IP pública + router único + red bien configurada. VPN opcional como capa de seguridad adicional.
Escenario B: domótica tipo Home Assistant + acceso remoto seguro
Prioridad: panel único desde fuera, con cifrado y control fino de usuarios.
Recomendado: IP pública o, si no es posible, montar una VPN saliente hacia un servidor propio y acceder siempre a través de ella. Alternativa intermedia: servicio en la nube tipo “relé” propio del sistema domótico.
Escenario C: quieres “ver algo” sin complicarte
Prioridad: simplicidad, aunque dependa del fabricante.
Recomendado: usar cámaras con acceso cloud integrado (P2P del fabricante) y verificar que funcionan bien incluso detrás de CGNAT. No es la solución más técnica, pero suele ser suficiente para usuarios no avanzados.
Pasos prácticos para dejarlo funcionando
1. Confirmar si tienes CGNAT o solo doble NAT
Compara la IP WAN del router con la IP pública y apunta los rangos. Si ves IP privada o 100.64.x.x en la WAN, el problema es CGNAT. Si tienes IP pública pero dos routers en cadena, es doble NAT.
2. Decidir tu estrategia
En función de tu caso:
- ¿Puedes llamar al operador y pedir IP pública? Empieza por ahí.
- ¿Tienes router del operador + router neutro/mesh? Planifica eliminar la doble NAT.
- ¿No hay forma de salir de CGNAT? Valora seriamente una VPN saliente o una solución de relé.
3. Limpiar la topología de red en casa
Si tienes un sistema mesh o un router neutro, decide qué equipo será el “jefe” (el que hace NAT y reparte DHCP). Siempre que puedas, pon el router del operador en modo puente y deja toda la inteligencia al router neutro o al sistema mesh, aprovechando un buen backhaul Ethernet si ya lo tienes montado.
4. Configurar el acceso remoto
Con la topología clara:
- Si tienes IP pública: abre solo los puertos imprescindibles hacia el NVR, servidor o cámara, mejor en puertos no triviales y usando HTTPS o VPN cuando sea posible.
- Si trabajas vía VPN: configura el servidor, crea usuarios con claves fuertes y prueba primero desde 4G/5G antes de abrir nada más.
- Si dependes de un servicio en la nube del fabricante: revisa bien las opciones de doble factor de autenticación y cambia las contraseñas por defecto de las cámaras.
5. Probar desde fuera de casa
Haz siempre las pruebas finales desde fuera de tu red local (datos móviles, otra conexión). Comprueba que puedes entrar de forma estable a las cámaras IP o al panel domótico y que los cambios de operador, router o VPN no introducen retardos ni cortes excesivos.
Errores frecuentes al pelear con CGNAT y doble NAT
- Abrir puertos sin saber si tienes CGNAT. Si no hay IP pública en tu router, el port forwarding no va a funcionar por mucho que insistas.
- Encadenar tres routers (operador + neutro + mesh) en modo router todos. La red se vuelve inestable y difícil de depurar.
- Exponer cámaras IP sin cifrado ni cambio de contraseña. Tan importante como llegar a tus cámaras es que otros no lleguen.
- Confiar solo en soluciones “mágicas” de fabricantes sin revisar la seguridad básica: actualizaciones de firmware, contraseñas y segmentación de red.
- Olvidar el impacto en el resto de la red. Cambiar topología o meter una VPN mal configurada puede romper otros servicios si no se planifica.
Preguntas frecuentes
¿Se pueden usar cámaras IP detrás de CGNAT?
Sí, pero no con acceso directo por puertos clásicos. Detrás de CGNAT tendrás que recurrir a las soluciones cloud del fabricante, a una VPN saliente hacia un servidor con IP pública o a una red tipo relé. Si necesitas acceso profesional y estable, lo más práctico es salir de CGNAT y obtener IP pública.
¿Qué es mejor para cámaras IP, IP pública o VPN?
Desde el punto de vista técnico, la combinación ideal suele ser IP pública + VPN: la IP te permite exponer servicios si lo necesitas y la VPN añade una capa fuerte de seguridad. Pero para muchos usuarios domésticos basta con IP pública y un buen endurecimiento de contraseñas y puertos.
¿Puedo evitar la doble NAT solo con el sistema mesh?
Algunos sistemas mesh ofrecen modos “AP” o “bridge” que permiten integrarlos sin añadir otra capa de NAT. Aun así, en instalaciones con cámaras IP y domótica compleja suele ser más limpio dejar un único router haciendo NAT y el mesh como extensión WiFi.
¿Cambiar de operador arregla el problema de CGNAT?
A veces sí y a veces no. Hay operadores que ya ponen a casi todos sus clientes detrás de CGNAT. Antes de cambiar, pregunta explícitamente si ofrecen conexión con IP pública (idealmente sin coste extra) y en qué condiciones.
