CGNAT para operadores: cómo dimensionar la plataforma y qué equipos comprar

LACNIC agotó su pool general de IPv4 el 19 de agosto de 2020. Desde entonces crecer en suscriptores significa una de dos cosas: comprar direcciones en el mercado secundario, entre 25 y 30 dólares cada una —un /24 ronda los 6.400 a 7.700 dólares—, o traducir. Para un operador que suma tres mil accesos al año la cuenta se decide sola: lo que cuesta un bloque nuevo paga la plataforma de traducción y sobra presupuesto. La pregunta ya no es si desplegar CGNAT, sino cómo dimensionarlo para que no se convierta en el cuello de botella de la red.

El error de dimensionamiento más común es comprar por gigabits. El CGNAT no se agota por ancho de banda sino por tabla de traducción: cada sesión TCP o UDP ocupa una entrada, y un suscriptor residencial activo sostiene entre 100 y 200 sesiones simultáneas. Multiplique por los suscriptores activos en hora pico, no por los contratados, y obtendrá el tamaño real de la tabla. Un operador con 8.000 accesos y 60% de actividad en pico necesita margen para cerca de un millón de sesiones, sostenidas con la CPU por debajo del 60% y no en el máximo teórico de la hoja de datos.

El segundo cálculo es el bloque de puertos. Asignar puertos por bloque en lugar de por sesión define cuántos suscriptores caben detrás de cada IP pública: con 2.048 puertos por suscriptor entran unos 30 por dirección; con 1.024, cerca de 60. Bajar demasiado el bloque genera fallas difíciles de diagnosticar, porque un navegador moderno abre decenas de conexiones para cargar una sola página. Del lado interno use el espacio compartido 100.64.0.0/10 de la RFC 6598 y no RFC 1918: si entrega 10.x o 192.168.x al WAN del cliente, tarde o temprano choca con la LAN de su propio router.

El registro es donde más operadores se equivocan. Guardar cada flujo genera volúmenes que ningún ISP mediano quiere almacenar; la asignación por bloques de puertos, o el NAT determinístico donde la IP privada mapea a un rango calculable, reduce el log en varios órdenes de magnitud porque basta registrar la asignación del bloque y no cada conexión. Lo que debe poder responder ante un requerimiento de la CRC, OSIPTEL, ARCOTEL, CONATEL o SUBTEL es siempre lo mismo: qué suscriptor tenía esa IP pública, ese puerto y esa marca de tiempo. Defina el período de retención antes de comprar el almacenamiento.

Prepárese para los reclamos de juego en línea, P2P y cámaras: detrás de CGNAT no hay puertos entrantes, el NAT queda en tipo estricto y el reenvío de puertos deja de funcionar. Las salidas prácticas son tres: un plan con IPv4 pública dedicada como servicio adicional, PCP según la RFC 6887 donde el router y el CPE lo soporten, y sobre todo IPv6. En varios países de la región el tráfico hacia Google ya supera el 50% en IPv6, y todo lo que resuelve por doble pila no consume una sola entrada de la tabla. Desplegar IPv6 en paralelo es lo que mantiene pequeño el CGNAT.