CGNAT: O que é, como funciona e como afeta portas, jogos e servidores domésticos

CGNAT (Carrier Grade NAT) é uma tecnologia que permite que provedores de internet compartilhem um único endereço IPv4 público entre vários assinantes. Para navegar em sites, assistir vídeos ou usar a maioria dos aplicativos, o usuário dificilmente percebe qualquer diferença. Os problemas começam quando é necessário receber conexões externas: abrir portas, hospedar um servidor doméstico, acessar um NAS ou criar um servidor de jogos.

Como funciona o CGNAT e por que provedores o utilizam

A principal característica do CGNAT é que a tradução de endereços ocorre não só no roteador doméstico, mas também dentro da rede do próprio provedor. Por isso, o usuário não controla diretamente o IP público externo, e o redirecionamento de portas no roteador deixa de funcionar como antes.

O que significa Carrier Grade NAT

O CGNAT funciona de modo semelhante ao NAT tradicional do roteador residencial, mas ao invés de conectar apenas alguns dispositivos dentro de casa, ele compartilha o endereço público de IPv4 entre centenas ou milhares de clientes do provedor.

Por exemplo, em uma rede doméstica típica, computador, smartphone e console recebem IPs locais como 192.168.1.x. O roteador reúne esse tráfego e envia para a internet usando um único IPv4 externo. Para o mundo, todos os dispositivos parecem um só.

Diferenças entre NAT comum e Carrier Grade NAT

No NAT tradicional, o IPv4 externo é atribuído diretamente ao usuário. O roteador recebe este endereço do provedor e gerencia as regras de entrada e saída de tráfego.

No CGNAT, há um nível extra de tradução. O roteador recebe um endereço interno da rede do provedor, e só depois o tráfego de vários clientes é agregado e enviado à internet por um mesmo IPv4 público.

Assim, há uma estrutura de dois níveis: primeiro, o NAT do roteador doméstico; depois, uma outra tradução no lado do provedor. O usuário controla apenas o primeiro nível.

Por que o CGNAT não prejudica conexões de saída

Em conexões iniciadas de dentro da rede doméstica para fora, o CGNAT registra a solicitação e devolve a resposta ao usuário correto. O problema aparece nas conexões de entrada: o equipamento do provedor precisa saber para qual assinante encaminhar o pacote, e o usuário não pode definir regras de redirecionamento no CGNAT do provedor.

Motivo da adoção do CGNAT pelos provedores

O principal motivo do CGNAT é a escassez de endereços IPv4. O IPv4 tem um espaço de endereçamento de 32 bits, limitado a cerca de 4,3 bilhões de endereços. Muitos já estão alocados e o número de dispositivos conectados só aumenta. Provedores precisam atender muitos clientes, mas não há IPv4 suficientes para todos.

O CGNAT permite que múltiplos assinantes usem um único endereço público. O provedor diferencia cada um pelo IP e pelas portas TCP/UDP, gerenciando múltiplas conexões ativas.

Assim, o CGNAT economiza o valioso pool de IPv4, mantendo o serviço para novos clientes. Para a maioria, isso não muda nada até surgir a necessidade de receber conexões externas.

A longo prazo, a solução é o IPv6, com espaço de endereçamento praticamente ilimitado, mas o IPv4 ainda é amplamente usado, tornando o CGNAT uma peça central em muitas operadoras.

Como o CGNAT interfere nas conexões e no acesso externo

O caminho do pacote em redes com e sem CGNAT

Sem CGNAT, o caminho é simples:
dispositivo → roteador doméstico → internet.

No CGNAT, o trajeto é:
dispositivo → roteador → rede do provedor → CGNAT → internet.

O roteador recebe um endereço interno (por exemplo, 100.70.15.24), mas o IP visto pelos sites será outro - o do CGNAT.

Como o CGNAT gerencia as conexões

O equipamento do provedor mantém uma tabela de conexões ativas, associando IPs e portas internas aos externos. Enquanto a conexão parte de dentro para fora, tudo funciona normalmente. No entanto, tentativas de conexão iniciadas de fora não encontram um registro correspondente e o pacote não chega ao usuário.

Endereços "cinza" e "branco" no CGNAT

O IP público ("branco") é acessível globalmente, permitindo configuração de regras de entrada. O IP "cinza" é usado apenas internamente e não é roteado na internet.

O bloco reservado para CGNAT é 100.64.0.0 - 100.127.255.255. Se o WAN do roteador está nesse intervalo, não é possível conexão direta da internet - o IP público pertence ao provedor.

Outros intervalos privados comuns: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16. O uso desses endereços no WAN geralmente indica a presença de um NAT extra acima do roteador.

O próprio CGNAT segue os mesmos princípios do NAT doméstico, mas opera para muitos clientes simultaneamente. Saiba mais sobre o funcionamento dessa tecnologia em NAT: por que jogos online e P2P nem sempre funcionam.

Por que portas, jogos e P2P não funcionam com CGNAT

O principal bloqueio do CGNAT está nas conexões de entrada. Enquanto o usuário acessa sites ou serviços, o CGNAT devolve as respostas corretamente. Mas se alguém tenta conectar do lado de fora, o CGNAT não consegue direcionar o tráfego para o usuário correto.

Por que o redirecionamento de portas falha

Com um IPv4 público, o usuário pode abrir uma porta no roteador e redirecionar o tráfego para um dispositivo específico. Por exemplo, porta 25565 para um servidor Minecraft ou 443 para um site hospedado em casa. O pedido chega ao roteador e segue a regra de port forwarding.

No CGNAT, o pedido externo para no CGNAT do provedor - o usuário não pode configurar regras nesse nível. Portanto, mesmo com o roteador corretamente configurado, o port forwarding não funciona para acessos externos.

Por isso, testes de portas abertas geralmente indicam portas fechadas, embora o firewall local esteja certo e o serviço rodando.

Impactos do CGNAT em jogos online e P2P

Muitos jogos modernos usam servidores centrais, então o CGNAT não impede partidas ou downloads. O problema aparece em jogos e aplicações P2P que exigem conexão direta entre dispositivos (peer-to-peer), como jogos antigos, chats de voz e situações em que um jogador hospeda a sessão.

Nesses casos, surgem alertas como Strict NAT, NAT Type 3 ou NAT fechado - significando que o dispositivo tem baixa acessibilidade para conexões diretas.

Alguns serviços usam técnicas de NAT traversal ou servidores relay para contornar o problema, mas se ambos os lados estiverem atrás de CGNAT rigoroso, conexões P2P podem se tornar impossíveis, forçando o uso de servidores intermediários e aumentando a latência.

Por que CGNAT dificulta servidores domésticos

O efeito mais visível ocorre ao tentar hospedar um serviço em casa: servidor de Minecraft, site, NAS, sistema de câmeras, FTP, acesso remoto, etc. Dentro da rede local, tudo funciona, mas o acesso pelo IP externo falha.

A razão é a mesma: a solicitação é bloqueada já na infraestrutura do CGNAT do provedor, antes de alcançar o roteador doméstico.

Isso é especialmente notável ao tentar usar um NAS doméstico. Saiba mais em NAS doméstico: substitua o Google Drive com mais segurança e economia.

O CGNAT não impede totalmente servidores domésticos, mas bloqueia o acesso via IPv4 público e port forwarding. Para acessar de fora, é necessário solicitar um IP público ao provedor, usar IPv6 ou configurar um túnel por um servidor externo.

Como saber se você está atrás de um CGNAT

Comparando o IP do roteador e o IP externo

A maneira mais simples é comparar o WAN IP do roteador (o endereço recebido do provedor) com o IP público exibido em sites de "Qual é o meu IP".

• Se os endereços coincidem, provavelmente não há CGNAT - você tem um IPv4 público.
• Se são diferentes, há um NAT extra acima do roteador. Isso indica CGNAT ou outro tipo de NAT do provedor.

Por exemplo:
WAN IP: 100.72.18.5
IP externo: 198.51.100.42
Isso mostra que o provedor faz a tradução antes de sair para a internet.

Endereços que indicam CGNAT

O bloco reservado para CGNAT é 100.64.0.0/10 (100.64.0.0 até 100.127.255.255). Se o seu WAN IP está nesse intervalo, há grandes chances de estar atrás de um CGNAT.

Endereços como 100.64.12.7, 100.95.30.18 ou 100.120.5.2 pertencem ao espaço compartilhado do provedor e não são IPv4 públicos tradicionais.

Também fique atento a endereços privados padrão (10.x.x.x, 172.16.x.x, 192.168.x.x) no WAN - indicam NAT extra.

A verificação é mais precisa se, além do endereço WAN ser interno e diferente do IP externo, o redirecionamento de portas não funciona.

Se ainda houver dúvidas, consulte o suporte do provedor e pergunte se é possível obter IPv4 público ou se está em CGNAT.

Esses testes são especialmente úteis se o port forwarding não funciona, não consegue acessar o servidor doméstico ou seu jogo mostra NAT restrito.

Como contornar o CGNAT e acessar a rede doméstica

Não é possível desligar o CGNAT pelo roteador, pois ele opera no lado do provedor. Para obter acesso externo, é preciso agir junto ao provedor ou usar métodos alternativos.

Solicitar IPv4 público ao provedor

A solução mais direta é pedir ao provedor um IPv4 público (pode ser chamado de "IP branco", "externo", "público" ou "estático"). Com isso, o CGNAT é desativado para seu acesso, e o roteador passa a ser acessível pela internet, permitindo port forwarding novamente.

Se o serviço for estático, melhor para servidores permanentes. Endereços dinâmicos também funcionam, mas podem mudar - para isso, use serviços de DDNS.

Confirme sempre que o "IP estático" oferecido é realmente público e acessível globalmente.

Usar IPv6

Outra opção é o IPv6, que elimina a necessidade de CGNAT graças ao espaço de endereçamento muito maior. Se o provedor oferece IPv6, o dispositivo pode receber um endereço globalmente roteável e aceitar conexões externas sem port forwarding.

No entanto, o roteador ainda precisa de regras de firewall para proteger os dispositivos. E quem for conectar também deve ter IPv6, o que nem sempre ocorre.

Entenda as diferenças entre protocolos no artigo IPv4 e IPv6: entenda as diferenças e a necessidade do IPv6.

Túneis e servidores intermediários

Se não for possível obter IPv4 público, outra solução é criar uma conexão de saída para um servidor externo (como um VPS). O servidor doméstico faz um túnel permanente para o VPS, que recebe as conexões e as repassa para casa.

Serviços de tunnel reverso e acesso remoto funcionam de modo semelhante, criando o canal de dentro para fora e eliminando a necessidade de abrir portas no CGNAT.

Esse método é útil para NAS, servidores de jogos, painéis de controle, automação residencial e acesso remoto ao computador. O CGNAT continua existindo, mas o tráfego ganha uma rota alternativa.

Em resumo: se o provedor oferece IPv4 público a preço acessível, essa é a melhor solução. Caso haja IPv6, ele pode ser usado para serviços modernos. Se nenhuma dessas opções for viável, use um túnel via servidor externo ou serviço especializado.

Conclusão

CGNAT permite que provedores usem um único IPv4 público para vários usuários. Para a navegação, streaming e uso comum, é quase imperceptível, pois as conexões partem de dentro da rede doméstica.

As limitações aparecem ao precisar receber conexões externas. O redirecionamento de portas deixa de funcionar, e jogos P2P ou servidores domésticos não conseguem ser acessados diretamente da internet.

Se deseja hospedar um NAS, servidor de jogos ou outro serviço em casa, compare o IP WAN do roteador com o IP externo. Confirmado o CGNAT, o caminho mais direto é solicitar um IPv4 público ao provedor. Alternativamente, use IPv6 ou túnel com servidor externo.

O CGNAT não é um defeito da internet, mas sim um compromisso para economizar endereços IPv4, ao custo de restringir o acesso externo para quem precisa dessa funcionalidade.