installer-pf: accurate CGNAT detection via router WAN vs public IP

리뷰 지적 반영. 기존엔 HTTP 공인 egress IP 만 100.64/10 검사라, 전형적 CGNAT
(egress 는 ISP 공인, 라우터 WAN 만 100.64)을 놓치고 "CGNAT 아님"처럼 오진 가능.
- 라우터 WAN(IGD 외부) IP 를 UPnP 로 조회해 HTTP 공인 IP 와 비교.
- cgnat 를 3-state(yes/no/unknown)로: WAN 이 사설/CGNAT 이거나 공인 IP 와 다르면
  yes, 같으면 no, WAN 못 읽으면 unknown.
- unknown 이면 "외부 IP만으론 CGNAT 확정/배제 불가, 라우터 WAN 확인" 안내.
- WAN 조회 타임아웃 8s→6s. v0.3.17.

Co-Authored-By: Claude Opus 4 <noreply@anthropic.com>

src/installer-pf/main.ts

@@ -55,7 +55,7 @@ function detectLocalIpv4(): string {
   return priv || candidates[0] || ''
 }
 
-/** CGNAT(이중 NAT) 대역 100.64.0.0/10 인지. 이 경우 공유기 포워딩만으론 외부 접속 불가. */
+/** CGNAT(이중 NAT) 대역 100.64.0.0/10 인지. */
 function isCgnat(ip: string): boolean {
   const m = ip.match(/^100\.(\d+)\./)
   if (!m) return false
@@ -63,6 +63,29 @@ function isCgnat(ip: string): boolean {
   return octet >= 64 && octet <= 127
 }
 
+/** 사설(RFC1918) IPv4 인지. 라우터 WAN 이 사설이면 앞단에 NAT 이 또 있다는 뜻(이중 NAT). */
+function isPrivateIpv4(ip: string): boolean {
+  return /^(10\.|192\.168\.|172\.(1[6-9]|2\d|3[01])\.)/.test(ip)
+}
+
+/**
+ * CGNAT/이중 NAT 여부 판별. HTTP 로 본 공인 egress IP 하나만으로는 배제할 수 없다
+ * (전형적 CGNAT 은 egress 는 ISP 공인 IP, 라우터 WAN 만 100.64/10 이라 egress 검사로는 놓침).
+ * 그래서 라우터 WAN(IGD 외부) IP 를 함께 보고 비교한다.
+ *   - 'yes'     : 공인 IP 가 CGNAT 대역이거나, 라우터 WAN 이 사설/CGNAT 이거나 공인 IP 와 다름.
+ *   - 'no'      : 라우터 WAN 이 HTTP 공인 IP 와 동일 → 단일 NAT 확정.
+ *   - 'unknown' : 라우터 WAN 을 못 읽음(UPnP 미응답/거부) → 외부 IP 만으로는 확정/배제 불가.
+ */
+function classifyCgnat(publicIp: string, wanIp: string): 'yes' | 'no' | 'unknown' {
+  if (publicIp && isCgnat(publicIp)) return 'yes'
+  if (wanIp) {
+    if (isCgnat(wanIp) || isPrivateIpv4(wanIp)) return 'yes'
+    if (publicIp && wanIp !== publicIp) return 'yes'
+    if (publicIp && wanIp === publicIp) return 'no'
+  }
+  return 'unknown'
+}
+
 function fetchBuffer(url: string): Promise<Buffer> {
   return new Promise((resolve, reject) => {
     const target = new URL(url)
@@ -117,7 +140,7 @@ function detectExternalIpUpnp(): Promise<string> {
     const timer = setTimeout(() => {
       try { client && client.close() } catch {}
       finish('')
-    }, 8000)
+    }, 6000)
     client.externalIp((err: Error | null, ip?: string) => {
       clearTimeout(timer)
       try { client && client.close() } catch {}
@@ -305,7 +328,8 @@ async function probePortFromOutside(
 interface PortForwardOutcome {
   externalIp: string
   localIp: string
-  cgnat: boolean
+  wanIp: string
+  cgnat: 'yes' | 'no' | 'unknown'
   port: number
   reachable: boolean | null
   preForwarded: boolean
@@ -327,16 +351,17 @@ ipcMain.handle('pf:open', async (_event, portInput: number): Promise<PortForward
 
   let externalIp = await detectExternalIpHttp()
   if (externalIp) sendLog(t('log.externalIpHttp', { ip: externalIp }))
-  else {
-    sendLog(t('log.externalIpHttpFail'))
-    externalIp = await detectExternalIpUpnp()
-    if (externalIp) sendLog(t('log.externalIpUpnp', { ip: externalIp }))
-    else sendLog(t('log.externalIpFail'))
-  }
-  const cgnat = isCgnat(externalIp)
-  if (cgnat) sendLog(t('log.cgnatDetected', { ip: externalIp }))
+  else sendLog(t('log.externalIpHttpFail'))
+  // 라우터 WAN(IGD 외부) IP 를 UPnP 로 조회해 HTTP 공인 IP 와 비교 → CGNAT/이중 NAT 판별.
+  const wanIp = await detectExternalIpUpnp()
+  if (wanIp) sendLog(t('log.routerWan', { ip: wanIp }))
+  else sendLog(t('log.routerWanUnknown'))
+  if (!externalIp && wanIp) externalIp = wanIp
+  const cgnat = classifyCgnat(externalIp, wanIp)
+  if (cgnat === 'yes') sendLog(t('log.cgnatDetected', { public: externalIp || '?', wan: wanIp || '?' }))
+  else if (cgnat === 'unknown') sendLog(t('log.cgnatUnknown'))
   const wrap = (reachable: boolean | null, preForwarded: boolean, detail: string): PortForwardOutcome =>
-    ({ externalIp, localIp, cgnat, port, reachable, preForwarded, detail })
+    ({ externalIp, localIp, wanIp, cgnat, port, reachable, preForwarded, detail })
 
   // 1차 점검: 이미 외부에서 닿는지.
   sendLog(t('log.probeStart'))

src/installer-pf/preload.ts

@@ -2,6 +2,9 @@ import { contextBridge, ipcRenderer } from 'electron'
 
 interface PortForwardOutcome {
   externalIp: string
+  localIp: string
+  wanIp: string
+  cgnat: 'yes' | 'no' | 'unknown'
   port: number
   reachable: boolean | null
   preForwarded: boolean