Wyobraź sobie sytuację, w której próbujesz przesłać list do kogoś, kto mieszka w ogromnym wieżowcu, ale na kopercie nie ma numeru mieszkania, a jedynie adres budynku. Co więcej, Ty sam mieszkasz w podobnym kompleksie i Twój list przechodzi przez dwie różne recepcje, zanim w ogóle trafi na pocztę. Tak w uproszczeniu wygląda rzeczywistość użytkownika, który zmaga się z podwójnym NAT-em w sieci opartej na technologii DS-Lite. Dla graczy, osób pracujących zdalnie czy fanów inteligentnego domu to scenariusz, który potrafi przyprawić o ból głowy.

Czym właściwie jest DS-Lite?

Zanim przejdziemy do problemów, warto zrozumieć, z czym mamy do czynienia. DS-Lite, czyli Dual-Stack Lite, to technologia stosowana przez dostawców internetu (ISP), aby poradzić sobie z kończącą się pulą adresów IPv4. W tym modelu Twój router otrzymuje pełnoprawny, publiczny adres IPv6, ale dla ruchu IPv4 (czyli większości starszych usług i gier) tworzony jest specjalny tunel.

W DS-Lite Twój ruch IPv4 jest pakowany w "kapsułkę" IPv6 i wysyłany do operatora, gdzie trafia na urządzenie zwane AFTR (Address Family Transition Router). Tam następuje NAT na poziomie operatora (CGNAT). Oznacza to, że dzielisz jeden publiczny adres IPv4 z setkami, a czasem tysiącami innych użytkowników.

Podwójny NAT – kolejna warstwa problemów

Podwójny NAT (Double NAT) pojawia się najczęściej wtedy, gdy do modemu/routera od dostawcy podłączasz własny, dodatkowy router (np. gamingowy lub system Mesh). W takim układzie:

1. Twój własny router tworzy lokalną sieć i nadaje adresy (NAT nr 1).
2. Router operatora traktuje Twój router jako jedno urządzenie i wykonuje kolejną translację (NAT nr 2).
3. W przypadku DS-Lite dochodzi do tego NAT na serwerach operatora (NAT nr 3 – technicznie rzecz biorąc, mamy tu już potrójny NAT!).

Co to oznacza w praktyce?

Połączenie DS-Lite i podwójnego NAT-u to prawdziwa kumulacja nieszczęść dla specyficznych zastosowań sieciowych. Oto co dzieje się "pod maską":

Brak możliwości przekierowania portów

To największa bolączka. Ponieważ nie posiadasz własnego publicznego adresu IPv4, a Twój ruch przechodzi przez CGNAT operatora, klasyczne przekierowanie portów (Port Forwarding) po prostu nie działa. Nawet jeśli ustawisz wszystko idealnie na swoim routerze i routerze dostawcy, pakiety i tak zostaną zatrzymane na bramie operatora.

Problemy w grach online

Konsole takie jak PlayStation czy Xbox oraz wiele gier PC zgłosi błąd "Strict NAT" lub "NAT Type 3". Oznacza to trudności z dołączaniem do lobby, problemy z czatem głosowym oraz częste rozłączanie z serwerami, które opierają się na połączeniach P2P (Peer-to-Peer).

Utrudniony dostęp z zewnątrz

Jeśli masz w domu serwer NAS, kamery IP lub chcesz korzystać z VPN-a typu "home-to-office", napotkasz ścianę. Bez publicznego adresu IPv4 nie połączysz się bezpośrednio ze swoimi urządzeniami z internetu mobilnego czy innej sieci, chyba że korzystasz z rozwiązań opartych na IPv6 lub zewnętrznych serwerów pośredniczących (np. Tailscale czy Cloudflare Tunnel).

Większe opóźnienia i obciążenie procesora

Każda kolejna warstwa NAT-u wymaga od routera przepakowania pakietów danych. Choć w nowoczesnych urządzeniach narzut ten jest minimalny, w skrajnych przypadkach przy bardzo dużym ruchu może to prowadzić do zwiększenia pingu (latencji) lub niestabilności połączenia.

Czy da się to naprawić?

Jeśli znajdziesz się w takiej sytuacji, masz kilka dróg wyjścia, choć nie każda z nich zależy tylko od Ciebie:

1. Przejście na pełny Dual-Stack: Skontaktuj się z operatorem i zapytaj, czy oferuje usługę "publicznego adresu IPv4". Często wiąże się to z dopłatą kilku złotych miesięcznie, ale rozwiązuje problem u źródła – Twój router dostaje wtedy własny, zewnętrzny adres.
2. Tryb Bridge (Most): Jeśli Twój operator na to pozwala, przełącz jego modem w tryb Bridge. Wtedy router operatora staje się "przezroczysty", a Twój własny router przejmuje całą komunikację. To eliminuje jedną warstwę NAT-u, ale przy DS-Lite nadal pozostaje problem CGNAT-u.
3. Wykorzystanie IPv6: Jeśli usługi, z których korzystasz (np. gra lub serwer), wspierają IPv6, podwójny NAT dla IPv4 przestaje mieć znaczenie. W IPv6 każde urządzenie może mieć swój publiczny adres, co eliminuje potrzebę stosowania NAT-u.
4. DMZ (Demilitarized Zone): Możesz ustawić adres IP swojego routera w strefie DMZ na routerze operatora. To "przepchnie" cały ruch do Twojego urządzenia, eliminując jeden poziom blokad, ale wciąż nie ominie ograniczeń wynikających z technologii DS-Lite.

Ciekawostka: Dlaczego operatorzy w ogóle to robią?

Możesz się zastanawiać, dlaczego dostawcy internetu tak utrudniają życie. Odpowiedź jest prosta: adresy IPv4 skończyły się oficjalnie w 2011 roku (na poziomie centralnej puli IANA). Obecnie adresy te są towarem deficytowym i ich ceny na rynku wtórnym są bardzo wysokie. DS-Lite pozwala operatorowi obsłużyć tysiące klientów przy użyciu zaledwie garstki publicznych adresów IPv4, promując jednocześnie przejście na nowocześniejszy standard IPv6.