Gestión del agotamiento de IP públicas en residencias de estudiantes
Esta guía proporciona una referencia técnica definitiva para arquitectos de red que despliegan Carrier-Grade NAT (CGNAT) y Port Address Translation (PAT) para gestionar el agotamiento de IPv4 en entornos densos de residencias de estudiantes y WiFi multiinquilino. Cubre la arquitectura NAT444, el espacio de direcciones compartido RFC 6598, el dimensionamiento de Port Block Allocation, estrategias de registro conformes con el GDPR y una ruta de migración de doble pila IPv6. La guía es esencial para cualquier operador que gestione cientos o miles de dispositivos concurrentes en un grupo limitado de IP públicas, proporcionando pautas de configuración prácticas, casos de estudio reales y análisis de ROI.
Escuchar esta guía
Ver transcripción del podcast
Resumen Ejecutivo
A medida que se acelera el agotamiento de las direcciones IPv4, los responsables de TI y los arquitectos de red en entornos multiinquilino de alta densidad —como residencias de estudiantes, el sector de hostelería y grandes recintos públicos— se enfrentan a importantes retos operativos. Una sola residencia de estudiantes con 1.000 residentes puede generar más de 7.000 dispositivos conectados por IP de forma concurrente. Las arquitecturas estándar de traducción de direcciones de puerto (PAT) fallan a esta escala, lo que provoca el agotamiento de puertos, la caída de conexiones y la degradación de la experiencia del usuario.
Esta guía de referencia técnica describe la arquitectura y el despliegue de Carrier-Grade NAT (CGNAT) utilizando el modelo NAT444 para gestionar el agotamiento de IP. Al aprovechar el espacio de direcciones compartidas RFC 6598 e implementar la asignación estratégica de bloques de puertos (PBA), los operadores de red pueden lograr una alta densidad de abonados —hasta 128 usuarios por IP pública— al tiempo que mantienen el cumplimiento de la GDPR y las normativas de interceptación legal. Para los recintos que utilizan plataformas como Guest WiFi y WiFi Analytics , una arquitectura CGNAT robusta garantiza una conectividad estable y una recopilación de datos precisa sin el gasto de capital que supone la compra de bloques IPv4 adicionales.
Análisis Técnico Detallado
El problema de la escala en las residencias de estudiantes
La densidad de dispositivos en las residencias de estudiantes modernas es diferente a la de casi cualquier otro entorno de red gestionado. Un solo residente suele conectar un smartphone, un portátil, una smart TV, una videoconsola y al menos un dispositivo doméstico inteligente. Con una media de cinco a siete dispositivos por ocupante, una promoción de 1.000 camas presenta una carga de sesiones concurrentes que empequeñece a la de un hotel de tamaño comparable. El reto se ve agravado por los patrones de uso: en las horas punta de la tarde (18:00-23:00) se registra una actividad de gran ancho de banda casi simultánea en juegos, streaming de vídeo y redes sociales, todo lo cual mantiene conexiones persistentes en segundo plano.
El espacio de direcciones IPv4 está prácticamente agotado a nivel de Registro Regional de Internet (RIR). RIPE NCC, que gestiona las asignaciones en Europa y Oriente Medio, alcanzó su política final de asignación /8 en 2019. Adquirir bloques IPv4 públicos adicionales en el mercado libre cuesta ahora entre 40 y 60 dólares por dirección, un CapEx prohibitivo para cualquier operador que gestione cientos de subredes.
Las limitaciones de PAT estándar
En los despliegues tradicionales de un solo sitio, la traducción de direcciones de puerto (PAT) mapea una LAN privada completa (espacio RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) a una única dirección IP pública. Una sola dirección IPv4 dispone de 65.535 puertos disponibles entre TCP y UDP. Aunque esto es suficiente para una oficina pequeña, en residencias de estudiantes de alta densidad, la proliferación de aplicaciones en segundo plano (sincronización en la nube, plataformas de mensajería, servicios de streaming) hace que un solo usuario pueda consumir fácilmente cientos de puertos de forma simultánea. Cuando el router de borde PAT agota sus puertos disponibles, las nuevas solicitudes de sesión se descartan silenciosamente. Esto se manifiesta en forma de tiempos de espera agotados en las aplicaciones, fallos en las llamadas VoIP y un aumento de los tickets de soporte.
La arquitectura CGNAT (NAT444)
Para escalar más allá de las limitaciones de la NAT de un solo nivel, las redes empresariales deben adoptar una arquitectura CGNAT (Carrier-Grade NAT), específicamente el modelo NAT444. El nombre hace referencia a las tres capas de espacio de direcciones IPv4 implicadas en la cadena de traducción.
Nivel 1 — Capa CPE / Punto de acceso: A los dispositivos de los abonados se les asignan direcciones IP privadas del espacio RFC 1918 (por ejemplo, 192.168.x.x). El punto de acceso o el equipo local del cliente (CPE) realiza la primera traducción NAT.
Nivel 2 — Pasarela CGNAT: El CPE traduce las direcciones privadas RFC 1918 al espacio de direcciones compartido RFC 6598 (100.64.0.0/10). Este espacio intermedio está reservado específicamente para su uso entre la infraestructura del proveedor de servicios y la pasarela CGNAT. El uso de RFC 6598, en lugar de otro rango RFC 1918, evita el solapamiento de direcciones y los conflictos de enrutamiento en entornos multiinquilino complejos.
Nivel 3 — Internet pública: La pasarela CGNAT realiza la traducción final de las direcciones RFC 6598 a una dirección IPv4 pública compartida. Esta es la dirección visible para los servicios externos.
Asignación de bloques de puertos: La decisión de diseño crítica
La opción de configuración más trascendental en un despliegue de CGNAT es la estrategia de asignación de puertos. Existen dos enfoques:
Asignación dinámica de puertos (DPA): Los puertos se asignan por sesión a partir de un pool compartido. Esto maximiza la eficiencia en el uso de los puertos, pero genera un registro de log para cada inicio y finalización de sesión, lo que supone una carga de cumplimiento e infraestructura a gran escala.
Asignación de bloques de puertos (PBA): Se asigna un bloque contiguo de puertos a cada abonado cuando inicia su primera sesión. El bloque permanece asignado hasta que expira la sesión del abonado. Este enfoque genera logs únicamente al asignar y liberar el bloque, lo que reduce el volumen de logs hasta en un 98%.
| Parámetro de configuración | Valor recomendado | Justificación |
|---|---|---|
| Puertos por abonado (tamaño de bloque PBA) | 500 | Suficiente para el uso moderno de múltiples aplicaciones sin agotar el pool |
| Máx. de sesiones concurrentes por suscriptor | 2.000 | Evita que un único dispositivo comprometido agote el bloque |
| Tiempo de espera de sesión (TCP establecido) | 7.440 segundos (RFC 5382) | Se alinea con las recomendaciones del IETF para el comportamiento de NAT |
| Tiempo de espera de sesión (UDP) | 300 segundos | Evita que los mapeos UDP inactivos consuman espacio de puertos |
Referencia del sector: NFWare, un proveedor especializado en CGNAT con despliegues en más de 100 ISP, recomienda un máximo de 128 suscriptores por IP pública con 500 puertos asignados por suscriptor. Superar este umbral —por ejemplo, llegar a 256 suscriptores por IP con 250 puertos cada uno— aumenta significativamente el riesgo de caídas de sesión durante los picos de carga.
IPv6 de doble pila como vía de migración a largo plazo
CGNAT es una estrategia de mitigación, no una solución permanente. La trayectoria arquitectónica correcta es un despliegue de doble pila (Dual-Stack): ejecutar IPv6 de forma nativa junto con IPv4 con CGNAT. Los dispositivos modernos y las principales CDN (Google, Netflix, Meta, Cloudflare) prefieren firmemente IPv6 cuando está disponible. En un entorno de doble pila bien configurado, entre el 60 % y el 70 % del tráfico total se puede desviar a IPv6, lo que reduce drásticamente la carga en el pool de CGNAT IPv4 y prolonga su vida útil efectiva.
Para entornos de sanidad y transporte donde el soporte de dispositivos heredados es fundamental, la doble pila también proporciona una vía de migración limpia: los dispositivos compatibles con IPv6 realizan la transición de forma nativa, mientras que los dispositivos heredados que solo admiten IPv4 continúan funcionando a través de CGNAT sin ninguna interrupción para el usuario.
Guía de implementación
Paso 1: Auditar la asignación de IP actual y la densidad de dispositivos
Antes de desplegar CGNAT, establezca una línea de base. Recopile los siguientes datos de su sistema de gestión de red existente:
- Número máximo de dispositivos concurrentes por subred
- Promedio y pico de sesiones por dispositivo
- Porcentaje actual de utilización de IP públicas
- Configuraciones existentes de tiempo de espera de NAT
Estos datos definen directamente el tamaño de su bloque PBA y los requisitos del pool de IP públicas.
Paso 2: Diseñar la red intermedia RFC 6598
Asigne el bloque 100.64.0.0/10 para la red intermedia de nivel de operador. Planifique la división en subredes para que coincida con la topología de su campus, normalmente una /24 o /23 por edificio o segmento de capa de acceso. Asegúrese de que su infraestructura de enrutamiento no filtre prefijos RFC 6598 a la internet pública ni a socios de peering.
Paso 3: Desplegar y configurar la pasarela CGNAT
La pasarela CGNAT suele ser un dispositivo de hardware dedicado o una función de red virtualizada (VNF) que se ejecuta en hardware de servidor estándar. Parámetros clave de configuración:
- Pool de NAT: Asigne su bloque IPv4 público al pool de NAT. Asegúrese de que el pool esté dimensionado para su relación objetivo de suscriptores por IP.
- Configuración de PBA: Establezca el tamaño del bloque en 500 puertos. Configure el número máximo de bloques por abonado en 1 (con la opción de ampliar a 2 si un abonado agota su bloque inicial, en lugar de aumentar el tamaño del bloque base).
- Registro (Logging): Configure la salida de syslog hacia su SIEM. Con PBA, cada entrada de registro registra: IP interna del abonado, IP pública asignada, inicio del bloque de puertos asignado, fin del bloque, marca de tiempo de asignación y marca de tiempo de liberación.
- Límites de sesión: Aplique un máximo de 2.000 sesiones concurrentes por abonado para evitar abusos.
Paso 4: Integración con la capa de identidad y autenticación
En entornos que utilizan plataformas de Guest WiFi , la autenticación del Captive Portal debe realizarse en el límite de NAT de Nivel 1 o antes de este. Esto garantiza que el proveedor de identidad pueda mapear con precisión las direcciones MAC y las credenciales de usuario con direcciones IP internas específicas antes de que el tráfico se agregue al pool de CGNAT. La plataforma de Purple gestiona esto a nivel de punto de acceso, manteniendo una vinculación limpia de usuario a IP que persiste a lo largo de la cadena de traducción NAT.
Para despliegues de acceso sin contraseña — como se describe en How a wi fi assistant Enables Passwordless Access in 2026 — se aplica el mismo principio: la vinculación de identidad debe establecerse de forma ascendente (upstream) al gateway de CGNAT para garantizar una atribución de sesión precisa.
Paso 5: Configurar IPv6 Dual-Stack
Habilite IPv6 en todos los puntos de acceso y distribuya un prefijo /64 por VLAN a través de DHCPv6 o SLAAC. Anuncie las rutas IPv6 a través de su proveedor ascendente. Verifique que el tráfico de las principales CDN (Google, Netflix, YouTube) se resuelva en registros AAAA y se enrute a través de IPv6 antes de reducir el tamaño de su pool de NAT IPv4.
Buenas prácticas
Implemente NAT determinista siempre que sea posible. El NAT determinista utiliza un mapeo algorítmico entre la dirección IP interna del abonado y su IP pública y bloque de puertos asignados. Dado que el mapeo es computable matemáticamente, no es necesario mantener ni registrar una tabla de sesiones; el mapeo se puede revertir bajo demanda para fines de interceptación legal. Este es el estándar de oro para despliegues orientados al cumplimiento normativo.
Distribuya la carga del gateway de CGNAT. Evite centralizar todo el tráfico de CGNAT a través de un único dispositivo. Distribuya los gateways por todo el campus o entre los edificios para evitar un único punto de fallo. Los gateways distribuidos también mitigan el riesgo de reputación de la IP: si una IP pública del pool es marcada por una CDN debido a patrones de tráfico sospechosos (el problema del CAPTCHA), solo se verá afectada una fracción de los usuarios.
Supervise la reputación de las IP de forma proactiva. Suscríbase a fuentes de reputación de IP (por ejemplo, Spamhaus, SURBL) y supervise las IP de su pool de NAT público. Mantenga un pool de reserva de IP limpias para rotarlas si una dirección activa entra en una lista negra. Esto es especialmente importante en las residencias de estudiantes, donde un pequeño número de usuarios puede realizar actividades que activen alertas por abuso. Aplicar límites de sesión por suscriptor. Un límite estricto de 2.000 sesiones concurrentes por suscriptor evita que un único dispositivo comprometido (por ejemplo, uno que participe en un ataque de amplificación DDoS) agote todo el bloque de puertos asignado a esa IP pública. Para obtener más información sobre la monitorización del rendimiento de la red, consulte nuestra guía sobre Cómo medir la fuerza de la señal y la cobertura de la WiFi .
Alinearse con IEEE 802.1X para el control de acceso. La implementación de la autenticación basada en puertos IEEE 802.1X en la capa de acceso garantiza que solo los dispositivos autenticados reciban asignaciones de IP. Esto reduce el riesgo de que dispositivos no autorizados consuman asignaciones de puertos y proporciona un registro de auditoría limpio para fines de interceptación legal.
Resolución de problemas y mitigación de riesgos
La carga de registro y cumplimiento normativo
En el Reino Unido y Europa, en virtud del GDPR y de la Investigatory Powers Act 2016, los operadores de red deben ser capaces de rastrear una dirección IP pública y un número de puerto hasta un usuario específico en una marca de tiempo concreta. Esta es una obligación legal no negociable.
El riesgo: Con CGNAT dinámico, registrar cada establecimiento y finalización de sesión genera terabytes de datos de syslog al día. Una implementación de 1.000 usuarios con asignación dinámica puede producir 500 millones de entradas de registro diarias. Esto satura la infraestructura SIEM, aumenta los costes de almacenamiento y hace que la investigación forense sea inviable.
La mitigación: La asignación de bloques de puertos (PBA) reduce el volumen de registros hasta en un 98%. Con PBA, solo se registran los eventos de asignación y liberación de bloques (normalmente dos entradas de registro por usuario y sesión, en lugar de cientos o miles). Asegúrese de que su SIEM conserve estos registros durante un mínimo de 12 meses para cumplir con los requisitos de retención de datos del Reino Unido.
El problema de CAPTCHA y la reputación de la IP
Cuando 128 usuarios comparten una única IP pública, el volumen de tráfico agregado puede activar protecciones de límite de velocidad o sistemas antibot en los principales sitios web. El reCAPTCHA de Google, la gestión de bots de Cloudflare y sistemas similares utilizan heurísticas basadas en IP que pueden clasificar erróneamente una IP de CGNAT compartida como una fuente de bots.
La mitigación: Distribuya su pool de CGNAT entre múltiples IP públicas. Monitorice de forma proactiva las puntuaciones de reputación. Considere la posibilidad de implementar DNS-over-HTTPS (DoH) o DNS-over-TLS (DoT) para evitar problemas de reputación basados en DNS. Explique a los usuarios que la aparición ocasional de CAPTCHA es un comportamiento conocido en entornos de IP compartida.
Problemas de compatibilidad de aplicaciones
Ciertas aplicaciones (especialmente los protocolos peer-to-peer, algunas implementaciones de VoIP y las plataformas de juegos heredadas) dependen de asignaciones de puertos consistentes o del inicio de conexiones entrantes. Estas pueden fallar bajo un doble NAT.
La mitigación: Para VoIP, asegúrese de que su puerta de enlace CGNAT sea compatible con ALG (Application Layer Gateway) para SIP. Para el gaming, considere implementar un proxy UPnP o una VLAN de gaming dedicada con un pool de NAT independiente y menos denso. Para entornos de retail donde los sistemas de punto de venta requieren conectividad entrante, coloque esos dispositivos en una VLAN independiente que evite por completo la capa CGNAT.
ROI e impacto empresarial
Ahorro en gastos de capital (CapEx)
La implementación de CGNAT ofrece un ahorro de CapEx inmediato y sustancial. A un precio de mercado de 50 $ por dirección IPv4, una universidad con 5.000 camas que requiera una relación dispositivo-IP de 1:1 necesitaría adquirir aproximadamente 35.000 direcciones IP, lo que supondría un coste de 1,75 millones de dólares. Al implementar CGNAT con una relación de 128:1, la misma instalación requiere menos de 300 IP públicas, lo que reduce el coste de adquisición de IP a aproximadamente 15.000 $.
Incluso teniendo en cuenta el coste del hardware de la puerta de enlace CGNAT o de las funciones de red virtualizadas (normalmente entre 20.000 y 80.000 $ para un despliegue a escala de campus), el ahorro neto es sustancial.
Reducción de gastos operativos (OpEx)
Una conectividad estable reduce directamente los costes de soporte técnico. Los eventos de agotamiento de puertos (el principal modo de fallo de PAT estándar a gran escala) generan un volumen desproporcionado de tickets de soporte. Un despliegue de CGNAT bien configurado, con límites de sesión adecuados y PBA, elimina este modo de fallo, reduciendo el volumen de soporte técnico relacionado con la red en un estimado del 30 al 40 %.
Diferenciación competitiva en alojamiento para estudiantes
En el competitivo mercado de los alojamientos para estudiantes, la calidad de la red es un criterio de selección primordial para los futuros inquilinos. Los operadores que pueden demostrar una conectividad constante y de alto rendimiento (validada a través de paneles de WiFi Analytics que muestran métricas de tiempo de actividad, calidad de la sesión y densidad de dispositivos) consiguen tarifas de alquiler más altas y logran una mayor ocupación. Esta estabilidad de la infraestructura es también la base para desplegar servicios avanzados basados en la localización, como se destaca en Purple Launches Offline Maps Mode for Seamless, Secure Navigation to WiFi Hotspots .
Caso de estudio 1: Residencia universitaria de 800 camas
Una universidad del Reino Unido que gestionaba una residencia de estudiantes de 800 camas sufría problemas crónicos de conectividad durante las horas punta de la tarde. La investigación reveló que su configuración PAT de un solo nivel, que utilizaba una subred pública /29 (6 IP utilizables), agotaba los puertos disponibles a las 19:30 de cada tarde. El operador implementó una solución CGNAT con PBA (500 puertos por abonado, 128 abonados por IP), actualizó a una subred pública /27 (30 IP utilizables) y habilitó la doble pila IPv6. Las métricas posteriores a la implementación mostraron una reducción del 94 % en los eventos de agotamiento de puertos, una reducción del 38 % en los tickets de soporte técnico relacionados con la red y una reducción del 65 % en el volumen de registros de CGNAT en comparación con un piloto inicial de asignación dinámica. La tasa de descarga de IPv6 alcanzó el 62 % a los 60 días de la implementación.
Caso de estudio 2: Operador de alojamiento para estudiantes (PBSA) de 1.200 habitaciones
Un operador privado de PBSA que gestiona tres centros en dos ciudades del Reino Unido necesitaba estandarizar su arquitectura de red antes de la apertura de un cuarto centro. Su infraestructura existente utilizaba una mezcla de NAT de un solo nivel y segmentación VLAN ad-hoc, sin una estrategia de registro coherente. Se implementó un despliegue de CGNAT con NAT determinista en los tres centros, lo que permitió un mapeo de abonado a IP matemáticamente computable sin ninguna sobrecarga de registro de sesiones. Este enfoque satisfizo al equipo legal del operador en cuanto al cumplimiento de la interceptación legal, eliminó el coste de almacenamiento de SIEM para los registros de sesiones y proporcionó una plantilla de arquitectura coherente para el cuarto centro. El operador también integró la plataforma Guest WiFi de Purple para la autenticación del Captive Portal, con la vinculación de identidad establecida antes de la pasarela CGNAT para garantizar una atribución precisa de los usuarios en los informes analíticos.
Definiciones clave
CGNAT (Carrier-Grade NAT)
Una arquitectura de red en la que un operador realiza la traducción de direcciones de red (NAT) en una pasarela centralizada, lo que permite a múltiples abonados compartir una única dirección IPv4 pública. Definido en RFC 6264 y RFC 6888. También conocido como Large-Scale NAT (LSN) o CGN.
Los equipos de TI se encuentran con CGNAT cuando una única IP pública es insuficiente para dar servicio a todos los dispositivos de una red. En las residencias de estudiantes, CGNAT es el mecanismo principal para gestionar el agotamiento de IPv4 sin necesidad de adquirir espacio de direcciones públicas adicional.
NAT444
Una topología CGNAT específica que implica tres capas de espacio de direcciones IPv4: direcciones privadas del abonado (RFC 1918), direcciones compartidas de calidad de operador (RFC 6598) y direcciones de internet pública. El nombre hace referencia a las tres redes IPv4 atravesadas.
NAT444 es la arquitectura estándar para despliegues de CGNAT en entornos multiinquilino. Los arquitectos de red deben comprender el modelo de tres capas para diseñar correctamente la red intermedia y evitar el solapamiento de direcciones.
RFC 6598 Shared Address Space
El bloque de direcciones IPv4 100.64.0.0/10 (100.64.0.0 a 100.127.255.255) reservado por la IANA para su uso en la red intermedia entre un CPE y una pasarela CGNAT. Este espacio no es enrutable en la internet pública y está diseñado específicamente para evitar conflictos de direcciones en despliegues NAT444.
Los equipos de TI deben utilizar RFC 6598 —y no RFC 1918— para la red intermedia de CGNAT. El uso de RFC 1918 para este segmento genera riesgos de solapamiento de direcciones cuando se utilizan los mismos rangos RFC 1918 en las redes de los abonados.
Port Block Allocation (PBA)
Una estrategia de asignación de puertos CGNAT en la que se asigna un bloque contiguo de puertos (por ejemplo, 500 puertos) a cada abonado durante la duración de su sesión, en lugar de asignar puertos individualmente por conexión. Definido en RFC 7422.
PBA es el enfoque recomendado para despliegues de CGNAT que cumplan con el GDPR. Reduce la sobrecarga de registro (logging) hasta en un 98% en comparación con la asignación dinámica de puertos, lo que hace que el cumplimiento de la interceptación legal sea operativamente viable a gran escala.
Deterministic NAT
Una configuración de CGNAT en la que la asignación entre la dirección IP interna de un abonado y su IP pública y bloque de puertos asignados se calcula algorítmicamente, sin mantener una tabla de sesiones. La asignación es matemáticamente reversible, lo que permite la identificación del abonado sin necesidad de recuperar registros.
Deterministic NAT es el estándar de oro para despliegues orientados al cumplimiento normativo. Elimina por completo la sobrecarga de registro (logging) al tiempo que satisface los requisitos de interceptación legal, ya que el abonado puede ser identificado a partir de una IP pública, un puerto y una marca de tiempo utilizando el algoritmo conocido.
PAT (Port Address Translation)
Una forma de traducción de direcciones de red en la que múltiples direcciones IP privadas se asignan a una única dirección IP pública diferenciando las conexiones mediante números de puerto de origen únicos. También conocido como sobrecarga de NAT o NAT de muchos a uno.
PAT es el NAT estándar de un solo nivel utilizado en la mayoría de los routers de frontera empresariales. Es el predecesor de CGNAT y resulta insuficiente para entornos multiinquilino densos debido al agotamiento de puertos a gran escala.
Session Table
Una estructura de datos mantenida por una pasarela NAT que registra la asignación entre la dirección IP y el puerto internos (privados) y la dirección IP y el puerto externos (públicos) para cada conexión activa. La tabla de sesiones es el principal recurso de memoria y procesamiento consumido por CGNAT.
El tamaño de la tabla de sesiones es un parámetro crítico de planificación de capacidad para las pasarelas CGNAT. Un despliegue de 1.000 abonados con un máximo de 2.000 sesiones por abonado requiere una capacidad de tabla de sesiones de al menos 2 millones de entradas. Un dimensionamiento insuficiente de la tabla de sesiones provoca fallos de conexión.
Dual-Stack
Una configuración de red en la que los protocolos IPv4 e IPv6 están activos simultáneamente en la misma infraestructura de red y en los dispositivos finales. Los dispositivos con capacidad dual-stack preferirán IPv6 para las conexiones a destinos compatibles con IPv6.
Dual-stack es la estrategia de transición recomendada para los despliegues de CGNAT. Al desviar el tráfico compatible con IPv6 hacia la ruta nativa de IPv6, dual-stack reduce la carga en el pool de IPv4 de CGNAT y proporciona una vía de migración hacia una red principalmente IPv6.
RFC 1918 Private Address Space
Los tres rangos de direcciones IPv4 reservados para uso en redes privadas: 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. Estas direcciones no son enrutables en la internet pública y se utilizan para el direccionamiento de redes internas.
Las direcciones RFC 1918 se utilizan para el direccionamiento de los dispositivos de los abonados en despliegues de CGNAT. Los arquitectos de red deben asegurarse de que los rangos RFC 1918 utilizados en las redes de los abonados no se solapen con los utilizados en la red intermedia de CGNAT, razón por la cual se utiliza RFC 6598 para la capa intermedia.
Lawful Intercept
La interceptación de comunicaciones legalmente autorizada por parte de las fuerzas y cuerpos de seguridad. En el Reino Unido, está regulada por la Investigatory Powers Act 2016. Los operadores de red deben ser capaces de identificar al abonado asociado con una dirección IP pública, puerto y marca de tiempo específicos al recibir una solicitud de interceptación legal.
El cumplimiento de la interceptación legal es el principal motor de los requisitos de registro (logging) de CGNAT. Los operadores deben conservar registros suficientes para identificar a los abonados a partir de los datos de la IP pública y el puerto. PBA y Deterministic NAT son las dos arquitecturas que hacen que esto sea viable a gran escala sin saturar la infraestructura de registro.
Ejemplos prácticos
Un bloque de alojamiento para estudiantes de 600 camas utiliza actualmente una única subred pública /29 (6 IP útiles) con PAT estándar. Durante las horas punta de la tarde (19:00–23:00), los usuarios informan de fallos generalizados de conectividad. El equipo de red ha confirmado el agotamiento de puertos en el router PAT. El operador dispone de presupuesto para hardware de pasarela CGNAT, pero no puede adquirir más IP públicas que una /27 (30 IP útiles). Diseñe un despliegue de CGNAT que elimine el problema de agotamiento de puertos y soporte el crecimiento futuro hasta 900 camas.
Paso 1 — Evaluación de la línea base: Con 600 camas a razón de 5 dispositivos por ocupante, el número máximo de dispositivos simultáneos en hora punta es de aproximadamente 3.000. Con 500 puertos por abonado (PBA), cada IP pública admite 128 abonados. Con 30 IP útiles en la /27, la capacidad máxima teórica de abonados es de 3.840, suficiente para 900 camas a razón de 4,3 dispositivos por ocupante. Paso 2 — Red intermedia RFC 6598: Asignar 100.64.0.0/20 para la red intermedia de calidad de operador, proporcionando 4.096 direcciones para el tráfico entre el CPE y la pasarela CGNAT. Subred por ala del edificio: 100.64.0.0/24, 100.64.1.0/24, etc. Paso 3 — Dimensionamiento de la pasarela CGNAT: Desplegar una pasarela CGNAT con una capacidad de tabla de sesiones de al menos 768.000 entradas (3.000 abonados × 2.000 sesiones máximas por abonado, con un 20% de margen de seguridad). Configurar PBA con bloques de 500 puertos. Establecer el número máximo de bloques por abonado en 1, permitiendo el desbordamiento a 2 bloques para los abonados que superen las 500 sesiones simultáneas. Paso 4 — IPv6 Dual-Stack: Habilitar IPv6 en todos los puntos de acceso. Distribuir prefijos /64 mediante SLAAC. Fijar como objetivo un 60% de descarga de tráfico IPv6 en un plazo de 90 días, lo que reduce eficazmente la carga de IPv4 CGNAT a 1.200 abonados IPv4 simultáneos, muy por debajo de la capacidad de la /27. Paso 5 — Registro (Logging): Configurar syslog hacia el SIEM únicamente con los eventos de asignación/liberación de bloques PBA. Conservar los registros durante un mínimo de 12 meses. Paso 6 — Límites de sesión: Imponer un máximo de 2.000 sesiones por abonado en la pasarela CGNAT para evitar abusos.
Un operador de PBSA ha desplegado CGNAT en un centro de 1.000 camas utilizando asignación dinámica de puertos. Su equipo jurídico ha señalado que el enfoque de registro actual genera 400 GB de datos de syslog al día, lo que está saturando el SIEM y haciendo inviable responder a las solicitudes de interceptación legal de las fuerzas de seguridad. Rediseñe la estrategia de registro para cumplir con las obligaciones de interceptación legal del Reino Unido reduciendo al mismo tiempo el volumen de registros a un nivel manejable.
Paso 1 — Migrar a la asignación de bloques de puertos (PBA): Sustituir la asignación dinámica de puertos por PBA a 500 puertos por abonado. Esto reduce inmediatamente los eventos de registro de uno por sesión a uno por asignación de bloque y uno por liberación de bloque. Para un despliegue de 1.000 usuarios con una media de 3 ciclos de asignación/liberación de bloques por usuario al día, esto genera aproximadamente 6.000 entradas de registro al día, una reducción de más del 99% respecto a la línea base de asignación dinámica. Paso 2 — Esquema de registro: Asegurarse de que cada entrada de registro de PBA capture: (a) dirección IP interna del abonado, (b) dirección IP pública asignada, (c) inicio y fin del bloque de puertos asignado, (d) marca de tiempo de la asignación del bloque (UTC), (e) marca de tiempo de la liberación del bloque (UTC), (f) identificador del abonado (dirección MAC o nombre de usuario RADIUS). Paso 3 — Opción de NAT determinista: Si la plataforma CGNAT lo admite, migrar a NAT determinista. Esto elimina por completo el registro para las operaciones rutinarias, ya que el mapeo se puede calcular matemáticamente. Conservar los registros de PBA únicamente para los casos de desbordamiento no determinista. Paso 4 — Política de retención: Conservar los registros durante 12 meses en un almacén de registros a prueba de manipulaciones (por ejemplo, almacenamiento de objetos compatible con S3 de escritura única). Implementar controles de acceso para que la recuperación de registros para solicitudes de interceptación legal requiera una doble autorización. Paso 5 — Procedimiento de respuesta a incidentes: Documentar el procedimiento para responder a las solicitudes de interceptación legal, incluida la fórmula para calcular a la inversa el abonado a partir de una IP pública, un puerto y una marca de tiempo bajo NAT determinista.
Un equipo de TI universitario informa de que los estudiantes experimentan frecuentes desafíos CAPTCHA y limitaciones de velocidad por parte de Google, Netflix y plataformas de juegos. La investigación revela que 200 estudiantes comparten una única dirección IP pública a través de CGNAT. Se ha comunicado al equipo que no es posible adquirir más IP públicas a corto plazo. ¿Qué mitigaciones inmediatas se pueden implementar sin cambiar la asignación de IP?
Paso 1 — Reducir la densidad de abonados: La relación de 200:1 es la causa principal. Incluso sin IP públicas adicionales, revise si el pool de CGNAT se está utilizando de manera eficiente. Asegúrese de que IPv6 dual-stack esté totalmente habilitado: si el 60% del tráfico se desvía a IPv6, el número efectivo de abonados IPv4 desciende a aproximadamente 80 por IP, muy dentro del umbral recomendado de 128:1. Paso 2 — Rotación de IP: Implementar una política de rotación para el pool de IP públicas. Si la pasarela CGNAT lo admite, configure la rotación periódica de la IP pública asignada a cada grupo de abonados. Esto evita que una sola IP acumule una reputación negativa persistente. Paso 3 — Optimización de DNS: Asegurarse de que los resolutores DNS proporcionados a los clientes devuelvan registros AAAA de forma preferente. Muchos activadores de CAPTCHA se basan en el DNS: si un cliente resuelve un servicio a una dirección IPv4 de forma innecesaria, se enruta a través de CGNAT cuando podría utilizar IPv6 de forma nativa. Paso 4 — Ajuste del tiempo de espera de las sesiones: Reducir los tiempos de espera de las sesiones UDP de los valores predeterminados (a menudo 300 segundos) a 60 segundos para el tráfico UDP que no sea de DNS. Esto libera espacio de puertos más rápido y reduce el volumen de sesiones aparente desde la perspectiva de los servicios externos. Paso 5 — Comunicación con las plataformas afectadas: Para problemas persistentes de listas negras, envíe solicitudes de exclusión a las principales bases de datos de reputación de IP (Spamhaus, SURBL). Documente que la IP es una dirección CGNAT compartida que da servicio a una institución educativa legítima.
Preguntas de práctica
Q1. Una residencia de estudiantes de 2.000 camas tiene una subred pública /26 (62 IPs utilizables). El equipo de red está planificando un despliegue de CGNAT. Calcula: (a) el número máximo de suscriptores que se pueden admitir con la relación recomendada de 128:1, (b) la capacidad total de puertos disponible, (c) el tamaño de bloque PBA recomendado y (d) si la /26 existente es suficiente o si se requieren IPs adicionales.
Sugerencia: Comienza con el total de IPs utilizables en una /26, luego aplica la relación de suscriptores de 128:1. Compara el resultado con el recuento de dispositivos para 2.000 camas con una relación realista de dispositivos por ocupante. Considera la descarga de pila dual IPv6 en tu recomendación final.
Ver respuesta modelo
Una /26 proporciona 62 IPs públicas utilizables. Con 128 suscriptores por IP, la capacidad máxima de CGNAT IPv4 es de 62 × 128 = 7.936 suscriptores. Con 5 dispositivos por ocupante, 2.000 camas generan aproximadamente 10.000 dispositivos concurrentes. Sin IPv6, la /26 es insuficiente (7.936 < 10.000). Sin embargo, con la pila dual IPv6 logrando una descarga del 60%, la carga efectiva de IPv4 se reduce a aproximadamente 4.000 dispositivos, lo que entra de sobra dentro de la capacidad de la /26 de 7.936. El tamaño de bloque PBA recomendado es de 500 puertos por suscriptor. Capacidad total de puertos: 62 IPs × 64.000 puertos utilizables = 3.968.000 puertos. A 500 puertos por suscriptor: 3.968.000 / 500 = 7.936 suscriptores como máximo. Recomendación: Desplegar CGNAT con PBA a 500 puertos/suscriptor, habilitar la pila dual IPv6 como requisito previo, y la /26 existente será suficiente. Si no se puede garantizar que la descarga de IPv6 supere el 50%, adquiera una /27 adicional como reserva.
Q2. Un despliegue de CGNAT en una residencia de estudiantes de 500 camas está generando problemas de cumplimiento. El equipo legal del operador ha recibido una solicitud de interceptación legal por parte de las fuerzas del orden para una dirección IP pública específica (203.0.113.45), puerto 51432, en la marca de tiempo 2025-11-15 21:47:33 UTC. La pasarela CGNAT está configurada con asignación dinámica de puertos. El SIEM contiene 180 días de registros, pero el equipo forense informa que localizar al suscriptor específico a partir de los registros está tomando más de 4 horas por solicitud. Identifica la causa raíz y propone una solución que reduzca el tiempo de respuesta a menos de 15 minutos.
Sugerencia: El tiempo de respuesta de 4 horas es un síntoma de la arquitectura de registro, no un problema de retención de datos. Considera qué información se registra bajo la asignación dinámica frente a PBA, y cómo el NAT determinista cambiaría por completo el proceso de respuesta.
Ver respuesta modelo
Causa raíz: La asignación dinámica de puertos genera una entrada de registro por sesión. Con 500 usuarios × cientos de sesiones por usuario por hora, el SIEM contiene millones de entradas de registro al día. Localizar una sola entrada por IP, puerto y marca de tiempo requiere una búsqueda de texto completo en potencialmente miles de millones de registros, de ahí el tiempo de respuesta de 4 horas. Opción de solución 1 (PBA): Migrar a la asignación de bloques de puertos (Port Block Allocation). Con PBA, la entrada de registro para el puerto 51432 registraría la asignación del bloque (por ejemplo, puertos 51001–51500 asignados al suscriptor 192.168.1.23 a las 21:30:00 UTC, liberados a las 23:15:00 UTC). Una única consulta indexada sobre IP pública + rango de puertos + marca de tiempo devuelve el resultado en segundos. Tiempo de respuesta estimado: menos de 2 minutos. Opción de solución 2 (NAT determinista): Si la plataforma lo admite, migrar a NAT determinista. El puerto 51432 se puede calcular matemáticamente a la inversa para obtener la IP interna del suscriptor sin realizar ninguna consulta de registro. Tiempo de respuesta: menos de 30 segundos. Acción inmediata: Indexar los registros existentes del SIEM en (public_ip, port, timestamp) para reducir el tiempo de respuesta actual mientras se planifica la migración a PBA.
Q3. Un arquitecto de redes está diseñando la infraestructura CGNAT para una nueva promoción de alojamiento para estudiantes (PBSA) de 800 camas. El ISP ascendente ha proporcionado una subred pública /27 y ha confirmado que el tránsito IPv6 está disponible. El operador también desea implementar la plataforma Purple's Guest WiFi para la autenticación del Captive Portal. Describe la ubicación correcta de la autenticación del Captive Portal en relación con la pasarela CGNAT y explica por qué una ubicación incorrecta genera un riesgo de cumplimiento.
Sugerencia: Considera qué información necesita capturar el Captive Portal (identidad del usuario, MAC del dispositivo, IP interna) y en qué punto de la cadena de traducción NAT sigue estando disponible esta información. Piensa en qué le ocurre a la dirección IP interna después de pasar por la pasarela CGNAT.
Ver respuesta modelo
La autenticación del Captive Portal debe realizarse en o antes del límite de NAT de Nivel 1, es decir, en el punto de acceso o en la capa CPE, antes de que el tráfico entre en la red intermedia RFC 6598. Ubicación correcta: La plataforma Purple's Guest WiFi autentica al usuario en el punto de acceso. La plataforma registra la vinculación: identidad del usuario → dirección MAC → IP interna RFC 1918 → marca de tiempo. Esta vinculación se establece antes de que la pasarela CGNAT realice su traducción. A continuación, la pasarela CGNAT asigna la IP RFC 1918 a una IP pública y a un bloque de puertos, y el registro de PBA almacena: IP RFC 1918 → IP pública → bloque de puertos → marca de tiempo. Los dos registros se pueden asociar mediante la IP RFC 1918 y la marca de tiempo para producir una cadena completa: identidad del usuario → IP pública + puerto. Ubicación incorrecta (Captive Portal después de la pasarela CGNAT): Si la autenticación se realiza después de la pasarela CGNAT, la plataforma solo ve la IP pública y el puerto, no la IP interna. En este punto, no se pueden distinguir los múltiples usuarios que se encuentran detrás de la misma IP de CGNAT. La plataforma no puede crear una vinculación fiable de usuario a IP, lo que imposibilita la atribución en interceptaciones legales y vulnera los requisitos de responsabilidad del GDPR. Este es el riesgo de cumplimiento. Con la arquitectura de Purple, la vinculación de identidad se establece antes de la capa CGNAT, lo que garantiza una atribución precisa del usuario tanto en la plataforma de analítica como en la cadena de registros de cumplimiento.
Continúe leyendo esta serie
Diseño de redes WiFi para edificios de oficinas multi-inquilino
Esta guía proporciona a directores de TI, arquitectos de redes y CTO un plano neutral de proveedores para diseñar redes WiFi escalables, seguras y aisladas en edificios de oficinas multi-inquilino. Cubre la segmentación de VLAN bajo IEEE 802.1Q, la asignación dinámica de VLAN a través de 802.1X y RADIUS, la planificación de RF para entornos de alta densidad y consideraciones de conformidad con el GDPR y PCI DSS. Los operadores de recintos y gestores de edificios encontrarán orientación de arquitectura práctica, casos de estudio reales y errores de configuración que deben evitar antes del despliegue.
Mean time to innocence: cómo demostrar que no es el WiFi
El Mean time to innocence (MTTI) es la métrica fundamental que define cuánto tiempo dedican los equipos de TI a demostrar que un problema de red no es culpa suya. Esta guía detalla una metodología de observabilidad en cinco pasos para acabar con el juego de las acusaciones en entornos multi-tenant, sustituyendo los reproches por pruebas compartidas para reducir el tiempo medio de resolución (MTTR).
Requisitos legales y de cumplimiento para la infraestructura de WiFi compartido
Esta guía de referencia técnica autorizada describe los requisitos legales, normativos y de arquitectura críticos para implementar y gestionar infraestructuras de WiFi compartido. Proporciona a los responsables de TI, arquitectos de red y operadores de recintos marcos de trabajo prácticos para garantizar una sólida protección de datos, un estricto cumplimiento de la seguridad de los pagos y un aislamiento de inquilinos de alto rendimiento utilizando estándares empresariales.