Sim Only abonnement geeft CGNAT timeouts op zowel Zyvel NR7302 als TRB500 5G modem

Ik heb sinds kort een SIM only unlimited abonnement voor een 5G modem. Ik heb zowel een Zyxel NR7302 als een TRB500 gebruikt en heb met beide hetzelfde probleem. Wanneer er een handvol clients gebruik maken van het netwerk duurt het even en dan krijgen ze allemaal timeouts. Na een paar minuten is het voorbij en kunnen alle apparaten weer verbinding maken, en dan herhaalt dit zich weer. Ik heb al meerdere modems/routers geprobeerd, met een range aan APNs (KPN4G.nl komt standaard met de Zyxel, een IoT APN komt standaard met de Teltonika, “internet”, “advancedinternet”), en het probleem blijft.

Op dit forum las ik dat “advancedinternet” voor nieuwe abonnementen geen dedicated IP meer uitgeeft en dat (dus?) alle APNs CGNAT gebruiken. Dat betekent gedeelde IPs, en dus NAT en connection tracking. Dit deed mij vermoeden dat het timeout probleem wordt veroorzaakt door een burst aan verbindingen die mijn quota in de NAT tabel opmaakt. Nieuwe verbindingen zullen dan stil gedropt (?) worden.

Om de proef op de som te nemen heb ik het volgende gedaan. Ik heb een VPS met dedicated IP (v4) en daarop draait een proces dat luistert voor nieuwe verbindingen. Elke verbinding wordt 60s vastgehouden en daarna gedropt. Vanaf mijn netwerk achter de 5G modem draai ik een script dat hier 2k keer verbinding mee maakt (200 in parallel, 5s timeout).

Het volgende blijkt (en is te reproduceren):

• Wanneer ik dit process vanaf mijn thuisnetwerk draai (glas dus eigen IP, ook KPN), zijn alle 2k succesvol.
• Wanneer ik dit process vanaf het netwerk op 5G draai, zie ik max 1k succesvolle verbindingen (schommelt maar altijd > 900 en < 1000). De rest resulteert in een timeout.
• Wanneer ik het netwerk op 5G configureer om alle traffic via een VPN te routeren (Unifi router naar WireGuard endpoint), zijn ook alle 2k succesvol.

Omdat het netwerk op 5G timeouts krijgt na ~1k verbindingen heb ik het vermoeden dat dat de maximale hoeveelheid entries per abonnee is in KPN’s NAT tabel.

De WireGuard verbinding zal er voor KPN uitzien als een stroom UDP met hetzelfde bron IP en poort, en doel IP en poort, dus heeft het geen effect op mijn CGNAT tabel (1 entry).

Nu de vragen:

• Klopt dit?
• Zo ja, wat is hier aan te doen? Hoewel ik alle verkeer via VPN kan laten lopen, betekent dit extra latency en extra kosten, en zou het niet nodig moeten zijn.

Dank!