- Modificato
[cancellato] nella mia (poca) esperienza diretta con modem consumer, prevalentemente vecchi TP-Link e ZyXEL, io l'ho sempre visto "attivo" (non chiamato cosi' ma il comportamento era quello), e non disattivabile, non esplicitamente almeno (parlo di modem che al piu' ti facevano impostare un fantomatico livello di sicurezza del firewall su "Low"/"Medium"/"High"). Non so se nei modem venduti negli ultimi anni sia cambiato qualcosa, non e' che ogni volta che sono ospite di qualcuno mi metto a fare prove di questo tipo 
E' piu' di un decennio che i miei "router" sono macchine con Linux "stock" (quindi decisamente senza i magheggi oscuri degli SDK della Broadcom o MediaTek di turno...), e il conntrack di Linux implementa un sistema che, se usato con i target SNAT o MASQUERADE, alla fine si comporta come il cosiddetto "port restricted cone NAT" (che poi e' esattamente quello che voglio per le mie reti) 
Pero' il dubbio di prima rimane: come altro spiegheresti, se non con "full cone NAT" a livello di CGNAT (ed anche sulla CPE, se non dovesse aver impostato il forwarding almeno li') il fatto che [cancellato] riesce ad accedere al suo OpenVPN da internet, pur essendo dietro CGNAT? A quest'ora non mi viene in mente altro 
affrettati prima che il prezzo salga ancora eh 
