CGNAT (Carrier-Grade NAT) is adresvertaling bij de provider waarbij meerdere klanten één publiek IPv4-adres delen. Het is een antwoord op het tekort aan IPv4-adressen. Surfen werkt gewoon, maar port forwarding en zelf hosten via IPv4 niet.

Niet onveiliger dan gewone NAT; van buitenaf kan niemand ongevraagd bij je apparaten. Het nadeel is praktisch: je kunt zelf ook geen verbindingen van buitenaf toelaten, en je deelt de reputatie van je IP-adres met andere klanten.

Hoe zet ik CGNAT uit bij DELTA?

Volgens DELTA-gebruikers log je in op MijnDelta, ga je naar je producten, pas je je huidige abonnement aan en kies je 'Dynamisch IP' in plaats van 'Standaard IP'. Het kan tot 4 uur duren voordat je een eigen publiek IPv4-adres hebt.

Heeft 5G-thuisinternet CGNAT?

Vrijwel altijd, net als mobiel internet op je telefoon. Heb je port forwarding nodig, kies dan een tunneldienst of een vaste aansluiting met een eigen publiek IPv4-adres.

Wat is CGNAT, en waarom werkt port forwarding dan niet?

Bij CGNAT deel je één publiek IPv4-adres met andere klanten van je provider. Daardoor werkt port forwarding niet en kun je je camera, NAS of gameserver niet van buitenaf bereiken. Zo herken je CGNAT, zo zit het bij KPN, Ziggo, Odido en DELTA, en dit zijn de oplossingen.

Kort antwoord

CGNAT (Carrier-Grade NAT) is een techniek waarbij je provider één publiek IPv4-adres deelt tussen meerdere klanten, omdat er te weinig IPv4-adressen zijn. Voor gewoon surfen en streamen merk je er niets van, maar port forwarding werkt niet: apparaten als een NAS, beveiligingscamera, Home Assistant of zelf gehoste gameserver zijn dan niet rechtstreeks van buitenaf bereikbaar. Per september 2026 gebruiken KPN en Odido geen CGNAT op vaste aansluitingen, DELTA op een deel van het glasvezelnetwerk (uit te zetten in MijnDelta) en Ziggo op aansluitingen met DS-Lite. Mobiele netwerken en 5G-thuisinternet gebruiken het vrijwel altijd.

Hoe werkt CGNAT?

CGNAT voegt een extra laag adresvertaling toe bij je provider. Thuis doet je router al NAT: al je apparaten delen één adres naar buiten. Bij CGNAT krijgt je router zelf ook geen eigen publiek adres, maar een intern adres van de provider. Een grote router bij de provider vertaalt dat weer naar een publiek IPv4-adres dat je met andere klanten deelt.

De internetstandaard RFC 6598 reserveerde in 2012 speciaal hiervoor het adresblok 100.64.0.0/10, dus adressen van 100.64.x.x tot en met 100.127.x.x. De reden is schaarste: IPv4 heeft ongeveer 4,3 miljard adressen, en de Europese uitgever RIPE NCC deelde op 25 november 2019 zijn laatste blok uit (RIPE NCC). De echte oplossing is IPv6; zie IPv4 vs IPv6 uitgelegd.

Situatie	Publiek IPv4-adres	Port forwarding	Merk je het bij surfen?
Gewone NAT (eigen publiek adres)	Eén voor jouw aansluiting	Werkt	Nee
CGNAT	Gedeeld met andere klanten	Werkt niet voor IPv4	Nee, soms bij games of captcha's
IPv6	Elk apparaat een eigen adres	Firewall-regel in plaats van forwarding	Nee

Wat werkt niet achter CGNAT?

Alles waarbij iemand van buitenaf een verbinding met jouw huis moet opzetten. Uitgaande verbindingen, zoals surfen, streamen en videobellen, werken normaal. Problemen zie je vooral bij:

Port forwarding: een poort openzetten in je router heeft geen zin, omdat het verkeer al bij de router van de provider stopt.
Zelf hosten: een website, Plex-server, NAS of Home Assistant direct via je IP-adres bereiken.
Oudere camera's en slimme apparaten die geen cloudverbinding gebruiken maar rechtstreeks bereikbaar moeten zijn.
Online gamen: consoles tonen soms een strikt NAT-type, waardoor zelf een spel hosten of voicechat lastiger wordt.
Gedeelde reputatie: misdraagt een andere klant op hetzelfde adres zich, dan krijg jij misschien ook extra captcha's of een blokkade.

Een thuis-VPN om van buitenaf in je eigen netwerk te komen, werkt achter CGNAT ook niet op de klassieke manier. Meer over VPN's lees je in wat is een VPN en heb je het nodig?.

Gebruikt jouw provider CGNAT?

Bij de meeste Nederlandse vaste aansluitingen krijg je een eigen publiek IPv4-adres, maar niet overal. De stand per september 2026, op basis van de communities en fora van de providers:

Provider	CGNAT op vaste aansluiting?	Wat kun je doen?
KPN	Nee	Port forwarding werkt; op mobiel afhankelijk van de APN wel CGNAT
Odido	Nee, ook niet bij Klik & Klaar	Je krijgt een dynamisch publiek IPv4-adres
DELTA	Op delen van het glasvezelnetwerk, sinds maart 2023	In MijnDelta 'Dynamisch IP' kiezen in plaats van 'Standaard IP'
Ziggo	Bij aansluitingen met DS-Lite	Via Ziggo laten omzetten naar een profiel met eigen IPv4-adres
Mobiel en 5G-thuis	Vrijwel altijd	Gebruik een tunnel (zie hieronder)

Bronnen: KPN Community, Odido Community, ZeelandNet-forum over DELTA, Provider Forum en Vodafone & Ziggo Community. Bij DELTA duurt het omzetten volgens gebruikers tot 4 uur. Beleid kan per product veranderen; staat het er niet bij, vraag het dan na voordat je een abonnement neemt. Wie echt een vast adres nodig heeft, leest wanneer heb je een vast IP-adres nodig?.

Hoe zie je of je achter CGNAT zit?

Vergelijk het WAN-adres in je modem met het adres dat websites van jou zien. Zo doe je dat:

Log in op je modem of router en zoek het WAN- of internet-IP-adres op.
Zoek op een andere tab naar "wat is mijn IP" en noteer het IPv4-adres dat daar staat.
Zijn ze gelijk, dan heb je een eigen publiek adres. Begint het WAN-adres met 100.64 tot en met 100.127, of wijkt het af, dan zit je waarschijnlijk achter CGNAT.

Dubbele NAT is iets anders

Staat er een 192.168.x.x- of 10.x.x.x-adres als WAN-adres, dan zit er vaak nog een tweede router tussen, bijvoorbeeld je eigen router achter het modem van de provider. Dat los je thuis op door het modem in bridge-modus te zetten; zie je eigen modem of router gebruiken.

Wat kun je doen als je achter CGNAT zit?

De beste oplossing is een eigen publiek IPv4-adres van je provider. Lukt dat niet, dan zijn er omwegen:

Vraag je provider: bij DELTA zet je het zelf om, bij Ziggo via de klantenservice. Bij mobiel en 5G-thuis kan dat meestal niet.
Gebruik IPv6: heeft je aansluiting IPv6, dan zijn je apparaten via IPv6 wel bereikbaar. Je opent dan een regel in de firewall in plaats van een port forward. Nadeel: wie op een netwerk zonder IPv6 zit, kan je niet bereiken. Odido biedt volgens de eigen community geen IPv6.
Gebruik een tunnel: diensten als Tailscale, ZeroTier of Cloudflare Tunnel maken een uitgaande verbinding vanaf je thuisnetwerk, waardoor je er van buitenaf toch bij kunt.
Kies cloudgebaseerde apparaten: de meeste moderne camera's en deurbellen verbinden zelf naar buiten en werken daarom gewoon achter CGNAT.

Bij het kiezen van een abonnement

Host je thuis iets of heb je port forwarding nodig voor werk, check dan vooraf of de provider een eigen publiek IPv4-adres geeft. Vergelijk internetabonnementen op je adres via Kiesbeter internet.