WireGuard detrás de CGNAT: por qué falla el reenvío de puertos y cómo solucionarlo (2026)

Instalaste WireGuard en tu servidor de casa, abriste el UDP 51820, reenviaste el puerto en tu router - y sigue sin conectar desde fuera. Antes de revisar la configuración por décima vez, sospecha de la red: el motivo más común por el que un VPN autoalojado no es accesible desde internet es el CGNAT, y ninguna configuración del router lo arregla. Esto es lo que es, cómo confirmarlo y las soluciones que de verdad funcionan.

Qué es el CGNAT y por qué rompe el autoalojamiento

El CGNAT (carrier-grade NAT) es como muchos ISP afrontan la escasez de direcciones IPv4: en lugar de dar a cada cliente su propia IP pública, ponen a muchos clientes detrás de una única dirección pública compartida. El lado WAN de tu router recibe una dirección de rango privado (a menudo en 100.64.0.0/10), y el propio NAT del ISP decide qué entra.

La consecuencia es simple y frustrante: ninguna IP pública apunta a tu línea, así que las conexiones entrantes no tienen dónde aterrizar. Reenviar puertos en tu router solo controla el tráfico que ya llegó al router - y con CGNAT nunca llega, porque el bloqueo está un nivel más arriba, dentro del ISP.

Cómo comprobar si estás detrás de CGNAT

Puedes confirmarlo en un minuto. Abre la página de administración de tu router y busca su IP WAN. Luego consulta tu IP pública en un servicio como whatismyip. Si las dos no coinciden, estás detrás de CGNAT. Una IP WAN del router dentro de 100.64.0.0/10, o un rango privado como 10.x.x.x o 192.168.x.x, es una señal inequívoca.

Las soluciones, de la más limpia a la más apañada

• Un VPS con IP pública (lo más fiable). Aloja WireGuard en un VPS barato. Tiene una IPv4 pública real, así que no hay NAT que combatir - tus dispositivos se conectan directamente. Si además necesitas llegar a tu red local, monta un pequeño túnel desde casa hacia el VPS; esa conexión es saliente, lo que el CGNAT permite.
• Una red con travesía de NAT (lo más fácil). Tailscale, el Headscale autoalojado, o Netbird usan conexiones salientes y servidores de relevo para enlazar dos dispositivos detrás de NAT, sin ningún reenvío de puertos. Mira qué es Tailscale y cómo funciona.
• Pide una IP pública a tu ISP. Algunos te sacarán del CGNAT o te venderán una IP fija, a veces por un pequeño coste.
• IPv6. Si tu ISP entrega IPv6 real y enrutable, WireGuard sobre IPv6 evita el problema de la IPv4 compartida - siempre que ambos extremos tengan IPv6 funcional.
• Túneles inversos. Cloudflare Tunnel, wstunnel o un túnel SSH inverso se inician saliendo desde casa hacia un punto público, así que también pasan por el CGNAT.

Elijas la vía que elijas, querrás un nombre estable para alcanzarla; nuestra guía de DNS dinámico explica cómo mantener un nombre de host apuntando a una dirección que cambia.

Por qué la vía del VPS suele ser la mejor

Para un VPN del que dependes, un VPS con su propia IP pública elimina toda esta clase de problemas. Obtienes una dirección predecible, control total del firewall y el puerto, ninguna dependencia de la buena voluntad del ISP, y sirve además como nodo de salida si quieres uno. El compromiso honesto son unos pocos euros al mes y la pequeña responsabilidad de mantener el servidor actualizado.

En resumen

Si WireGuard conecta bien en tu red local pero nunca desde fuera, sospecha del CGNAT antes que de tu configuración. Confírmalo con la comprobación de IP WAN frente a IP pública, y luego elige una solución: un VPS con IP pública es lo más fiable y en lo que se quedan la mayoría de los autoalojadores, una red con travesía de NAT es la opción sin reenvío más simple, e IPv6 o una IP pública del ISP funcionan bien donde están disponibles. El problema es el reparto de direcciones de tu ISP, no tu archivo de WireGuard.