Apa Itu CGNAT? Kenapa Port Forwarding Bisa Tidak Berfungsi

Kamu sudah membuat port forwarding di router, firewall terlihat benar, server lokal bisa diakses dari WiFi, tetapi dari internet tetap tidak bisa dibuka? Salah satu kemungkinan yang sering terlewat adalah koneksi internetmu berada di belakang CGNAT.

CGNAT atau Carrier-Grade NAT membuat banyak pelanggan sebuah provider berbagi alamat IPv4 publik. Jadi NAT tidak hanya terjadi di router rumah. Setelah traffic keluar dari router, provider masih melakukan satu lapisan translasi lagi sebelum koneksi mencapai internet.

Model ini membantu provider menghemat penggunaan IPv4, tetapi ada konsekuensinya. Koneksi masuk dari internet menjadi lebih sulit karena public IPv4 yang terlihat oleh website belum tentu benar-benar terpasang langsung pada router milik pelanggan.

Kalau kamu belum memahami perbedaan alamat lokal dan alamat internet, baca dulu artikel IP Public dan IP Private.

Apa Itu CGNAT?

CGNAT adalah singkatan dari Carrier-Grade Network Address Translation. Konsepnya mirip NAT yang ada di router rumah, tetapi translation dilakukan lagi pada jaringan milik provider atau operator.

Pada koneksi rumah biasa tanpa CGNAT, gambaran sederhananya:

Pada CGNAT, ada lapisan tambahan:

Artinya alamat yang diterima router pada sisi WAN belum tentu merupakan public IPv4 yang bisa dijangkau langsung dari internet.

Kenapa ISP Menggunakan CGNAT?

Alasan utamanya berkaitan dengan keterbatasan ruang alamat IPv4.

IPv4 mempunyai jumlah alamat terbatas, sementara jumlah pelanggan, perangkat, server, router, smartphone, IoT, dan koneksi internet terus bertambah.

Dengan CGNAT, provider dapat membuat banyak pelanggan keluar ke internet melalui sekumpulan public IPv4 bersama.

Jadi provider tidak harus memberikan satu public IPv4 unik kepada setiap pelanggan.

Apa Itu Range 100.64.0.0/10?

RFC 6598 menetapkan sebuah blok khusus:

Rentang alamatnya adalah:

Blok ini disebut Shared Address Space dan ditujukan antara lain untuk jaringan service provider yang menggunakan Carrier-Grade NAT.

IANA juga mencatat bahwa alamat pada blok tersebut tidak globally reachable.

Referensi resminya tersedia pada RFC 6598.

Apakah 100.64.x.x Termasuk Private IP?

Bukan private-use RFC1918.

Ini detail yang cukup penting.

Walaupun sama-sama tidak digunakan sebagai alamat global biasa, tujuan blok 100.64.0.0/10 berbeda dari private address space RFC1918.

Bagaimana CGNAT Bekerja?

Misalnya rumah mempunyai router dengan perangkat:

Router melakukan NAT dan mendapat alamat WAN:

Alamat tersebut masih berada di dalam Shared Address Space.

Provider kemudian menerjemahkannya lagi menjadi public IPv4:

Alurnya:

Website hanya melihat alamat pada sisi public terakhir.

NAT Biasa vs CGNAT

Untuk pembahasan NAT secara lebih umum, lihat artikel NAT Proxy: Cara Kerja dan Bedanya dengan Proxy.

Bagaimana Cara Mengetahui Kita di Balik CGNAT?

Cara paling mudah adalah membandingkan IP WAN pada router dengan public IP yang terlihat dari internet.

1. Cek WAN IP di Router

Buka halaman admin router dan cari informasi seperti:

Misalnya router menunjukkan:

2. Cek Public IP dari Internet

Kamu bisa menggunakan browser atau command:

Misalnya hasilnya:

3. Bandingkan Keduanya

Kalau WAN router berada pada 100.64.0.0/10 sedangkan public IP checker menunjukkan alamat lain, itu merupakan indikasi kuat bahwa koneksi berada di belakang CGNAT.

Apakah WAN 10.x, 172.16–31.x atau 192.168.x Juga Bisa Menandakan NAT Provider?

Bisa.

Provider secara teknis dapat menggunakan address space private pada bagian internal jaringannya. Jadi jangan hanya mencari alamat 100.64.x.x.

Kalau WAN router kamu menggunakan alamat non-global seperti:

sementara public IP checker menunjukkan alamat lain, kemungkinan ada NAT tambahan di sisi upstream.

Kenapa Port Forwarding Tidak Berfungsi di CGNAT?

Karena port forwarding yang kamu buat hanya mengatur NAT di router sendiri.

Misalnya kamu mempunyai server:

Lalu router dibuat:

Kalau router punya public IPv4 langsung, koneksi dari internet bisa diarahkan menuju mapping tersebut selama firewall dan service benar.

Tetapi pada CGNAT jalurnya menjadi:

Koneksi dari internet berhenti lebih dulu pada NAT milik provider karena pengguna tidak mengontrol mapping inbound di lapisan tersebut.

Port Forwarding Router Bisa Benar tetapi Tetap Gagal

Ini yang sering membuat troubleshooting membingungkan.

Kamu sudah memastikan:

• service sedang listen,
• firewall lokal terbuka,
• port forwarding router benar,
• IP LAN server benar,
• server bisa diakses dari jaringan lokal.

Tetapi koneksi dari internet tetap gagal.

Kalau ada CGNAT di atas router, konfigurasi lokal tersebut belum cukup karena masih ada satu NAT yang tidak berada dalam kontrolmu.

Apa Dampak CGNAT untuk Self-Hosting?

CGNAT cukup terasa kalau kamu ingin menjalankan service dari rumah dan mengaksesnya langsung dari internet.

Misalnya:

• web server,
• NAS,
• home lab,
• game server,
• CCTV/NVR,
• remote desktop,
• SSH server,
• home automation.

Kalau service bergantung pada inbound connection langsung menuju public IPv4 milik router, CGNAT dapat membuat setup tersebut tidak bekerja seperti yang diharapkan.

CGNAT dan Game Online

Banyak game modern tetap bisa dimainkan di belakang CGNAT karena client membuat koneksi keluar menuju server game.

Masalah lebih terasa pada fitur yang membutuhkan peer-to-peer atau koneksi inbound tertentu.

Beberapa gejala yang bisa muncul tergantung game dan platform:

• NAT type lebih ketat,
• kesulitan menjadi host,
• peer-to-peer connection gagal,
• voice atau fitur tertentu bermasalah,
• matchmaking tertentu lebih sulit.

Tetapi jangan menganggap semua masalah game berasal dari CGNAT. Firewall, UPnP, routing, latency, WiFi, dan server game juga dapat berpengaruh.

CGNAT dan CCTV

CCTV lama atau sistem NVR tertentu dapat mengandalkan port forwarding agar perangkat dapat diakses dari luar jaringan.

Kalau koneksi berada di belakang CGNAT, inbound connection langsung menuju router dapat menjadi masalah.

Namun banyak perangkat modern memakai model cloud relay:

Karena kedua sisi membuat koneksi keluar, sistem masih bisa bekerja meskipun pelanggan berada di balik CGNAT.

CGNAT dan Remote Desktop

Konsepnya sama.

Kalau remote desktop membutuhkan koneksi langsung menuju IP rumah:

CGNAT dapat menghalangi akses tersebut.

Sedangkan software remote desktop yang menggunakan broker atau relay cloud dapat mempunyai mekanisme berbeda dan tetap bekerja.

Apakah DDNS Bisa Mengatasi CGNAT?

Tidak secara langsung.

Dynamic DNS hanya membantu hostname mengikuti perubahan IP.

Misalnya:

Masalahnya, jika alamat tersebut merupakan public IP milik CGNAT provider dan bukan IP yang langsung terpasang di router, mengarahkan hostname ke sana tidak otomatis membuat inbound mapping menuju routermu.

Apakah UPnP Bisa Mengatasi CGNAT?

UPnP biasanya membantu aplikasi membuat port mapping pada router lokal.

Tetapi UPnP di router rumah tidak memberikan kontrol terhadap NAT milik ISP.

Jadi:

Apakah DMZ Router Bisa Mengatasi CGNAT?

Tidak.

Fitur DMZ pada router rumahan biasanya meneruskan inbound traffic yang sampai ke router menuju satu perangkat internal.

Kalau traffic dari internet tidak pernah mencapai router karena berhenti di CGNAT provider, DMZ lokal tidak menghilangkan lapisan tersebut.

Apa Solusi Kalau Butuh Koneksi Inbound?

Pilihan terbaik tergantung kebutuhan dan provider.

1. Minta Public IPv4 dari ISP

Beberapa ISP menyediakan public IPv4 berdasarkan permintaan atau paket tambahan.

Kamu bisa menanyakan:

2. Gunakan IPv6 Jika Kedua Sisi Mendukung

IPv6 mempunyai ruang alamat jauh lebih besar dan tidak membutuhkan model sharing IPv4 yang sama.

Tetapi firewall tetap perlu dikonfigurasi dengan benar. Memiliki alamat IPv6 bukan berarti semua service otomatis boleh diakses dari internet.

3. Gunakan Tunnel dari Dalam ke Luar

Server lokal dapat membuat koneksi keluar menuju server yang mempunyai alamat publik.

Karena koneksi tunnel dimulai dari jaringan internal menuju luar, solusi seperti ini bisa bekerja di belakang CGNAT tergantung implementasinya.

4. Gunakan Layanan Relay yang Sesuai

Beberapa aplikasi remote access, IoT, atau monitoring menyediakan relay sendiri sehingga tidak membutuhkan inbound port langsung.

CGNAT vs Double NAT

Keduanya bisa terlihat mirip karena ada lebih dari satu lapisan NAT.

Double NAT dapat terjadi di rumah, misalnya:

Dalam kondisi ini kedua perangkat NAT bisa saja masih berada di lokasi pelanggan.

CGNAT berada pada jaringan provider dan dipakai untuk berbagi public IPv4 antarpelanggan.

CGNAT vs Proxy: Apa Bedanya?

CGNAT dan proxy sama-sama dapat menyebabkan website melihat IP yang berbeda dari alamat perangkat pengguna, tetapi mekanismenya tidak sama.

Jadi CGNAT bukan shared proxy walaupun banyak pelanggan bisa terlihat menggunakan public IPv4 yang sama.

Apakah CGNAT Menyembunyikan IP Asli?

Dari sisi website, koneksi IPv4 dapat terlihat berasal dari public IP yang digunakan CGNAT provider.

Tetapi ini tidak berarti pengguna menjadi anonim.

Website masih dapat menggunakan berbagai sinyal lain seperti:

• cookie,
• akun login,
• session,
• User-Agent,
• browser fingerprint,
• device information tertentu.

Sama seperti NAT biasa, CGNAT bukan teknologi anonimitas.

Apakah Banyak Pengguna Bisa Punya Public IP yang Sama?

Ya.

Itulah salah satu karakteristik utama CGNAT.

Misalnya:

Provider membedakan koneksi menggunakan mapping alamat dan port.

Apa Dampaknya pada IP Reputation?

Karena beberapa pelanggan dapat berbagi satu public IPv4, reputasi sebuah IP secara teoritis dapat dipengaruhi traffic dari banyak pengguna.

Namun sistem reputation berbeda-beda dan tidak selalu hanya melihat satu IP secara sederhana.

Website atau layanan dapat menggunakan kombinasi:

• IP reputation,
• ASN,
• traffic behavior,
• account history,
• rate pattern,
• device signals.

Topik IP reputation sendiri cukup luas dan lebih baik dibahas pada artikel terpisah.

CGNAT dan Proxy IP Whitelist

CGNAT juga relevan ketika kamu menggunakan proxy yang mengandalkan IP whitelist.

Provider proxy biasanya melihat public outbound IP koneksimu.

Jika public IP yang dipakai CGNAT:

• bisa berubah, atau
• dipakai bersama pelanggan lain,

maka autentikasi berbasis IP bisa menjadi kurang praktis dibanding koneksi yang memiliki static public IPv4 sendiri.

Karena itu pada koneksi seperti mobile data atau CGNAT, proxy dengan username/password sering lebih fleksibel daripada whitelist yang bergantung pada source IP.

Apakah CGNAT Selalu Menggunakan 100.64.0.0/10?

Tidak selalu terlihat seperti itu dari sisi pelanggan.

RFC 6598 menyediakan Shared Address Space khusus untuk deployment CGN, tetapi implementasi jaringan provider dapat berbeda.

Karena itu jangan hanya memakai aturan:

Lebih baik bandingkan WAN address, public IP yang terlihat dari internet, routing, dan jika perlu tanyakan langsung ke ISP.

Apakah Public IP yang Terlihat Bisa Berubah?

Bisa.

CGNAT dan static/dynamic IP merupakan konsep berbeda.

Public IPv4 yang digunakan provider untuk kelompok pelanggan dapat berubah berdasarkan konfigurasi jaringan.

Untuk memahami sisi alokasi alamat lebih lanjut, baca artikel Static IP vs Dynamic IP.

Apakah CGNAT Membuat Internet Lebih Lambat?

Tidak otomatis.

CGNAT menambah perangkat atau fungsi translation pada jalur jaringan, tetapi kualitas internet tetap dipengaruhi banyak faktor lain seperti:

• kapasitas jaringan ISP,
• routing,
• peering,
• latency,
• congestion,
• WiFi lokal,
• server tujuan.

CGNAT yang dirancang dengan kapasitas memadai belum tentu menghasilkan perbedaan kecepatan yang terasa bagi browsing biasa.

Apakah CGNAT Mengenkripsi Traffic?

Tidak.

CGNAT melakukan network address dan port translation. Enkripsi berasal dari protokol lain seperti HTTPS, SSH, TLS, atau VPN.

Apakah CGNAT Sama dengan Firewall?

Tidak.

CGNAT dan firewall memiliki fungsi berbeda.

NAT mengatur translation alamat dan port. Firewall menentukan traffic mana yang diizinkan atau ditolak berdasarkan rule.

Walaupun koneksi inbound spontan sering tidak bisa melewati CGNAT karena tidak ada mapping, hal itu tidak menjadikan NAT sebagai pengganti firewall.

CGNAT dan IPv6

Salah satu alasan CGNAT banyak digunakan adalah keterbatasan IPv4.

IPv6 menawarkan ruang alamat jauh lebih besar sehingga kebutuhan untuk berbagi alamat seperti pada IPv4 dapat berkurang.

Namun adopsi IPv6 tidak terjadi sekaligus. Banyak jaringan menjalankan IPv4 dan IPv6 secara bersamaan atau menggunakan berbagai mekanisme transisi.

Kalau koneksi mempunyai IPv6 global, sebuah service dapat mempunyai jalur inbound melalui IPv6 tanpa membutuhkan public IPv4 khusus, selama firewall dan routing memang mengizinkannya.

Cara Troubleshooting Port Forwarding yang Gagal

1. Pastikan Service Berjalan

Cek apakah aplikasi benar-benar listen pada port yang digunakan.

2. Tes dari LAN

Pastikan service dapat diakses melalui private IP di jaringan lokal.

3. Cek Firewall

Pastikan firewall server mengizinkan traffic.

4. Cek Port Forwarding Router

Pastikan external port diteruskan ke IP dan port internal yang benar.

5. Cek WAN IP Router

Lihat apakah router benar-benar memperoleh public IPv4.

6. Bandingkan dengan Public IP Checker

Jika berbeda, periksa kemungkinan NAT tambahan atau CGNAT.

7. Tanyakan ke ISP

Kalau masih belum jelas, tanyakan apakah koneksi menggunakan CGNAT dan apakah public IP tersedia.

Tanda-Tanda Koneksi Mungkin Berada di Balik CGNAT

• WAN router berada di range 100.64.0.0/10.
• WAN router berbeda dengan public IP checker.
• Port forwarding sudah benar tetapi inbound tetap gagal.
• ISP menyatakan pelanggan menggunakan shared public IPv4.
• Public IPv4 khusus hanya tersedia sebagai add-on.
• Game atau aplikasi tertentu menunjukkan NAT type ketat.

Tidak satu pun tanda tersebut sebaiknya digunakan sendirian untuk diagnosis absolut. Gabungkan beberapa indikator.

Kesalahan Umum tentang CGNAT

• Menganggap 100.64.x.x adalah private IP RFC1918.
• Menganggap semua koneksi NAT adalah CGNAT.
• Mengira port forwarding router bisa mengontrol NAT ISP.
• Menganggap DDNS menghilangkan CGNAT.
• Menganggap UPnP menghapus CGNAT.
• Menganggap CGNAT sama dengan proxy.
• Menganggap CGNAT mengenkripsi traffic.
• Menganggap CGNAT otomatis membuat koneksi anonim.
• Mengira port forwarding gagal pasti karena CGNAT.

Ringkasan CGNAT

FAQ CGNAT

Apa itu CGNAT?

CGNAT adalah Carrier-Grade Network Address Translation, yaitu NAT yang dilakukan pada jaringan provider agar banyak pelanggan dapat berbagi alamat IPv4 publik.

Apa range IP CGNAT?

RFC 6598 menetapkan 100.64.0.0/10 sebagai Shared Address Space untuk kebutuhan seperti Carrier-Grade NAT.

Apakah 100.64.0.0/10 termasuk private IP?

Bukan private-use RFC1918. IANA mengklasifikasikannya sebagai Shared Address Space.

Bagaimana cara mengecek apakah internet menggunakan CGNAT?

Bandingkan WAN IPv4 pada router dengan public IP yang terlihat dari internet. WAN yang berada pada shared/non-global address space dan berbeda dari public IP merupakan salah satu indikasi adanya NAT upstream.

Kenapa port forwarding tidak bekerja pada CGNAT?

Karena pengguna hanya mengontrol NAT pada router sendiri. Koneksi inbound dari internet masih harus melewati NAT milik provider, dan pengguna biasanya tidak memiliki mapping pada lapisan tersebut.

Apakah DDNS bisa melewati CGNAT?

Tidak. DDNS hanya memperbarui hostname agar menunjuk ke IP terbaru. DDNS tidak membuat inbound mapping melalui NAT provider.

Apakah UPnP bisa mengatasi CGNAT?

UPnP dapat membuat mapping pada router lokal yang mendukungnya, tetapi tidak memberi kontrol terhadap CGNAT milik ISP.

Apakah CGNAT sama dengan proxy?

Tidak. CGNAT melakukan address/port translation pada jaringan provider, sedangkan proxy bertindak sebagai perantara koneksi aplikasi.

Apakah CGNAT membuat pengguna anonim?

Tidak. Beberapa pelanggan memang dapat berbagi public IPv4, tetapi website masih dapat menggunakan cookie, akun, fingerprint, session, dan sinyal lainnya.

Bagaimana solusi jika butuh server yang bisa diakses dari internet?

Pilihan dapat berupa meminta public IPv4 dari ISP, menggunakan IPv6 bila tersedia, atau memakai tunnel/relay yang sesuai dengan kebutuhan dan konfigurasi keamanan.