Carrier-grade NAT (CGNAT) è una forma di traduzione degli indirizzi di rete su larga scala usata dai fornitori di servizi Internet e dai grandi operatori per consentire a molti dispositivi di condividere un insieme più piccolo di indirizzi IPv4 pubblici. Riscrive il traffico in modo che più host privati possano apparire come provenienti dallo stesso IP pubblico, mantenendo al tempo stesso gli indirizzi interni nascosti dietro il livello di traduzione.
Il CGNAT è importante nella sicurezza informatica perché influisce sull'attribuzione, sulla registrazione dei log e sul blocco. Gli aggressori possono usare i livelli di traduzione per rendere più difficili la scansione, le segnalazioni di abuso e la tracciabilità della sorgente. I difensori si affidano a log, timestamp e mappature delle porte per correlare le sessioni che passano attraverso il CGNAT. La presenza di un indirizzo CGNAT nei metadati dei certificati, nei record DNS o negli inventari dei servizi può anche essere un indizio utile: può indicare che un sistema non è esposto direttamente, ma si trova dietro uno spazio di indirizzi condiviso e un confine di rete interno. Questo rende il CGNAT sia uno strumento pratico di networking sia un indizio importante durante un'indagine.