El doble NAT son dos aparatos seguidos haciendo cada uno traducción de direcciones, cosa que ocurre cuando la caja del proveedor enruta y tu propio router enruta por detrás. Para la navegación corriente no cambia nada; para todo lo que tenga que ser alcanzable desde fuera cambia muchísimo.
Es uno de esos montajes invisibles hasta el día en que algo tiene que entrar desde fuera, y entonces es toda la explicación.
Qué está pasando
La traducción de direcciones permite que muchos aparatos de dentro de una red compartan una dirección en el exterior. Un router la hace por costumbre.
El doble NAT es sencillamente eso ocurriendo dos veces. La caja del proveedor traduce entre la línea y su propia red interna; tu router, enchufado a esa caja, traduce otra vez entre ella y tu red. El tráfico que sale atraviesa las dos, cosa que funciona perfectamente. El tráfico que intenta entrar tiene dos puertas y solo llega a enterarse de una.
Cuándo el doble NAT no importa
Navegar, ver vídeo, mensajería, actualizaciones, copias hacia un servicio remoto: todo lo que empieza desde dentro. Todas esas son conexiones salientes, y el camino de vuelta lo establece la traducción de ida. Una casa que solo hace estas cosas puede vivir detrás de dos capas indefinidamente sin notarlo nunca.
Cuándo el doble NAT sí importa
La redirección de puertos. Una regla en tu router manda una conexión entrante a una máquina de dentro. Pero nada de fuera puede alcanzar tu router siquiera salvo que la caja del proveedor tenga una regla equivalente que le pase el tráfico. Una regla sin la otra no hace nada, en silencio.
El acceso remoto a una carcasa de red. Casi todos los fabricantes ofrecen un servicio de relé que esquiva el problema; el acceso directo necesita las dos capas configuradas.
La apertura automática de puertos. Los protocolos que permiten a una aplicación pedir un puerto solo hablan con el router más cercano. El de fuera no se entera nunca.
Algunos juegos y aplicaciones de voz, que son los que más ruido hacen al respecto porque anuncian la condición por su nombre.
Las tres salidas
Modo puente o módem en la caja del proveedor. Termina la línea y deja de enrutar, tu router lo hace todo, y hay una sola capa. Donde el proveedor lo ofrece, esta es la respuesta limpia, y la documentación de soporte del propio proveedor es donde averiguar si se ofrece.
Tu router como punto de acceso. Apaga el enrutado y el reparto de direcciones en tu propia unidad y deja que la caja del proveedor sea el único router. La caja del proveedor gobierna entonces la red, cosa que puede resultar aceptable o no.
Mandarlo todo hacia dentro. Algunas cajas de proveedor pueden dirigir todo el tráfico entrante no solicitado a una dirección interna: pon ahí tu router y las reglas que tenga pasan a ser efectivas. Este es el apaño y no el arreglo, y se comporta de forma distinta entre fabricantes.
Decidir si vale la pena molestarse
Si nada necesita ser alcanzable desde fuera, el montaje es inofensivo y deshacerlo es trabajo para nada.
Si algo sí lo necesita —un recurso compartido remoto, un servicio que ejecutas, una aplicación que no para de quejarse— entonces ocuparse una vez es muchísimo mejor que mantener reglas equivalentes en dos sitios durante años. Se resuelva como se resuelva, anota qué cambiaste, porque la próxima persona que mire esa red serás tú, y faltará mucho tiempo para eso.
Las preguntas que surgen antes de un pedido
¿Cómo sé si lo tengo?
Mira la dirección que muestra tu router en su interfaz exterior. Si es una dirección de uno de los rangos privados en vez de una pública, algo que está delante ya está traduciendo. La página de estado de tu router lo enseña, y también la lista de aparatos conectados de la caja del proveedor.
¿Es un problema de seguridad?
En sí mismo no, y a veces se describe como si fuera una ventaja. Es un problema de configuración y no de seguridad: dos capas significan dos sitios donde tiene que existir una regla, y las reglas que existen solo en uno de ellos no hacen nada, en silencio.
Última revisión el 10 de septiembre de 2026