O que é CGNAT, como saber se você tem e como sair

Você entrou no roteador, abriu a porta e conferiu a regra várias vezes, mas ainda não consegue ver a câmera de segurança de fora de casa. Ou o console avisa que o tipo de NAT é estrito e você não consegue entrar na partida que seu amigo criou. Quem pergunta em um fórum quase sempre ouve a mesma resposta: "Você está atrás de CGNAT, ligue para a operadora e peça para sair". A resposta costuma estar certa, mas não diz o que é CGNAT, se a sua linha realmente tem isso nem o que pedir exatamente à operadora.

Neste artigo explicamos em linguagem simples o que é CGNAT, por que as operadoras usam e como funciona. Depois mostramos como testar se você está atrás de CGNAT sem instalar nada. Passamos pelas consequências, como abertura de portas, tipo de NAT, acesso remoto e as telas de verificação causadas por um IP compartilhado, e no fim listamos os caminhos para sair do CGNAT.

O que é CGNAT?#

Primeiro, dois termos. Endereço IP é o endereço de um dispositivo conectado à internet; os sites que você acessa respondem para esse endereço. NAT (tradução de endereços de rede) é o trabalho que o roteador da sua casa faz há anos: o celular, o computador e a TV usam dentro de casa endereços privados como 192.168.1.x, e o roteador leva todos para a internet com um único endereço público. Nesse arranjo, o IP público é da sua casa, ou seja, do seu roteador.

CGNAT é esse mesmo trabalho feito mais uma vez, um nível acima, na rede da operadora. A operadora não dá ao seu roteador um endereço público; dá um endereço que só vale dentro da rede dela. O seu tráfego e o dos outros assinantes ligados ao mesmo equipamento passa por um grande dispositivo NAT no núcleo da rede da operadora e sai para a internet com o endereço público desse dispositivo. A RFC 6888, publicada pela entidade que escreve os padrões da internet, define CGNAT exatamente assim: uma função NAT que compartilha o mesmo endereço IPv4 entre vários assinantes e que não é administrada pelo assinante.

CGN, CGNAT e NAT444 são nomes do mesmo método. Um "pool de CGNAT" é o grupo de assinantes que sai para a internet com um endereço em comum. Um "IP de CGNAT" é o endereço que a operadora dá ao seu roteador e que sozinho não vale na internet.

Por que as operadoras usam CGNAT?#

O motivo cabe em uma frase: os endereços IPv4 acabaram. O IPv4 tem cerca de 4,3 bilhões de endereços, e esse número não basta para um mundo em que todo celular e toda TV ficam conectados. O RIPE NCC, o registro que distribui endereços na Europa, no Oriente Médio e em Türkiye, anunciou que alocou seus últimos endereços IPv4 em novembro de 2019. Desde então, as operadoras que pedem novos endereços entram em uma lista de espera.

Uma operadora cujo número de assinantes cresce, mas cujo estoque de endereços não, precisa dividir os endereços que tem. CGNAT é o método dessa divisão. Quem navega na web e assiste a vídeos não percebe, porque nessas tarefas é você quem inicia a conexão. O problema aparece quando a conexão precisa começar de fora em direção a você. No IPv6, a solução definitiva, não falta endereço; explicamos as diferenças em Proxies IPv4 e IPv6.

Como o CGNAT funciona?#

Quando você abre um site, o seu pedido passa por duas traduções separadas:

1. O celular envia o pedido ao roteador com o endereço privado de casa (por exemplo 192.168.1.25).
2. O roteador troca o endereço de origem pelo próprio endereço WAN. Com CGNAT, esse endereço não é público, e sim um endereço interno da operadora, como 100.72.14.8.
3. O pedido chega ao equipamento CGNAT na rede da operadora. O equipamento troca o endereço de origem de novo, desta vez por um IP público de verdade, e reserva para o pedido um número de porta livre nesse endereço.
4. O site enxerga o pedido como vindo desse endereço público e manda a resposta para lá.
5. O equipamento CGNAT consulta a sua tabela, verifica que aquela porta daquele endereço estava reservada para um determinado assinante e encaminha a resposta ao seu roteador. O roteador entrega ao dispositivo certo dentro de casa.

Aqui a porta é o número que separa os assinantes que compartilham o mesmo endereço. Um endereço IP tem 65.535 portas, e o equipamento CGNAT as divide entre os assinantes. A RFC 6888 exige que a operadora possa limitar o número de portas atribuídas a cada assinante. O conceito de porta está explicado em Diferença entre TCP e UDP, na parte sobre o que significa abrir uma porta.

Para o endereço interno que a operadora dá ao seu roteador existe um bloco reservado: 100.64.0.0/10, ou seja, de 100.64.0.0 a 100.127.255.255. A RFC 6598 separou esse bloco em 2012 apenas para esta finalidade: numerar os enlaces entre o equipamento CGNAT e os roteadores dos assinantes. No registro de endereços de uso especial da IANA ele aparece como "Shared Address Space" (espaço de endereços compartilhado) e não é roteado na internet. Algumas operadoras usam no lugar dele endereços privados clássicos como 10.x.x.x; o resultado é o mesmo.

Qual é a diferença entre uma conexão normal e uma com CGNAT?#

Como saber se você está atrás de CGNAT?#

O teste se resume a comparar dois endereços.

1. Entre na interface do roteador. Em um dispositivo ligado ao roteador por cabo ou por Wi-Fi, digite 192.168.1.1 na barra de endereços do navegador (em alguns roteadores 192.168.0.1 ou 192.168.2.1). O usuário e a senha geralmente estão na etiqueta embaixo do roteador.
2. Encontre o endereço IP da WAN. Os nomes dos menus mudam de modelo para modelo; procure a página chamada Status, Informações do dispositivo, Internet ou WAN. A linha que você procura aparece como "endereço IP da WAN", "endereço IP" ou "endereço IPv4". Anote o endereço.
3. Veja o endereço que aparece do lado de fora. Em um dispositivo da mesma rede, pesquise "qual é o meu IP" e abra qualquer um dos sites dos resultados. Se uma VPN ou um proxy estiver ligado, desligue antes, senão você verá o endereço deles.
4. Compare os dois. Se os endereços forem iguais, você tem um IP público e não está atrás de CGNAT. Se forem diferentes, há mais um equipamento no caminho traduzindo o seu endereço.

Os números com que o endereço WAN começa também dão uma pista:

Nos dados móveis do celular não é preciso fazer esse teste. As redes móveis têm muito mais assinantes do que endereços, por isso a internet móvel funciona com CGNAT quase sempre.

Nível avançado: conferir pela linha de comando#

Se você não consegue entrar na interface do roteador, no Windows digite cmd no menu Iniciar, abra o Prompt de Comando e execute este comando:

tracert -d -h 3 1.1.1.1

O comando lista as três primeiras paradas por onde o seu pedido passa. A primeira linha é o seu roteador (algo como 192.168.1.1). Se na segunda ou na terceira linha aparecer um endereço entre 100.64 e 100.127, ou um que começa com 10., o seu tráfego está passando pela rede interna da operadora, e isso é um sinal forte de CGNAT.

O que o CGNAT afeta?#

Todos os efeitos do CGNAT se apoiam em uma única regra: as conexões que você inicia funcionam; as que começam de fora em direção a você não funcionam. O equipamento CGNAT não tem como saber a quem entregar um pedido que não consta na sua tabela, então o descarta.

Abrir portas (redirecionamento de portas) não funciona#

A regra de redirecionamento de portas que você cria no roteador só vale para o tráfego que chega até o seu roteador. Com CGNAT, o pedido que vem de fora nunca chega lá, porque o endereço público não está no seu roteador, e sim no equipamento da operadora, e nele você não tem permissão para criar regras. É por isso que o site de teste de portas mostra "fechada" mesmo com a porta aberta; faça o teste do endereço WAN antes de sair procurando configurações.

O tipo de NAT nos jogos fica estrito#

Os consoles e alguns jogos de PC tentam ligar os jogadores diretamente uns aos outros. Chegar de fora a um console que está atrás de duas camadas de NAT é difícil, então o tipo de NAT aparece como "estrito" ou "tipo 3", e criar partidas ou entrar no chat de voz fica complicado. A RFC 7021, que resume testes de laboratório conjuntos de operadoras de cabo, registra que dois consoles na mesma operadora, atrás de um equipamento CGNAT com um único endereço público, não conseguiram se conectar entre si, e que as chamadas de telefonia pela internet sem servidor intermediário e o compartilhamento direto por torrent também não funcionaram. Os ajustes do lado do console estão no nosso artigo sobre o tipo de NAT, e os problemas de latência, em Como resolver ping alto e perda de pacotes.

O acesso à sua casa vindo de fora é cortado#

O gravador das câmeras de segurança, o NAS, o servidor de jogos em casa, a área de trabalho remota e o seu próprio servidor de VPN esperam uma conexão que vem de fora. Atrás de CGNAT você não chega diretamente a nenhum deles. Já o app em nuvem do fabricante da câmera continua funcionando, porque ali é a câmera que inicia a conexão.

A autorização por IP deixa de ser confiável#

Alguns serviços funcionam na lógica de "aceite apenas pedidos deste endereço IP": APIs de marketplaces, firewalls de servidores, a whitelist de IP dos painéis de proxy. Atrás de CGNAT surgem dois problemas. O seu endereço muda com frequência e a lista perde o efeito. E o mais importante: o endereço que você colocou na lista não é só seu; outros assinantes que o compartilham podem passar pela mesma porta. Por isso, ao usar um proxy atrás de CGNAT, conecte-se com usuário e senha em vez da whitelist de IP; explicamos a diferença entre os dois métodos em Autenticação de proxy: user:pass ou whitelist de IP. Para o lado das APIs, veja o nosso artigo sobre IP fixo para acesso a APIs.

Por que um IP compartilhado gera bloqueios ou telas de verificação?#

Os sites reconhecem o visitante primeiro pelo endereço IP. Se chegam pedidos demais de um endereço em pouco tempo, se dele sai spam ou se tentativas de login com erro se acumulam, o site passa a tratar esse endereço com cautela: mostra uma tela de verificação, desacelera os pedidos ou restringe o endereço por um tempo. Ao fazer isso, o site não tem como saber quantas pessoas estão atrás do endereço.

É aí que começa o problema do IP compartilhado. Se um dos assinantes que usam o mesmo endereço público que você está sobrecarregando um site com um programa automático, o site marca o endereço e você vê a mesma tela de verificação sem ter feito nada. Mesmo que ninguém faça nada de errado, muita gente acessando o mesmo site a partir de um único endereço pode fazer o total de pedidos parecer alto demais para uma casa só. Alojamentos, cafés, redes de escritório e VPNs compartilhadas funcionam pelo mesmo mecanismo.

Os lugares onde esse mecanismo aparece, e a solução própria de cada um, estão em artigos separados:

• No YouTube: o erro "não é um bot"
• Na busca do Google: o erro de tráfego incomum
• No Instagram: o bloqueio de IP do Instagram e o erro de proxy aberto
• Em sites que usam Cloudflare: Error 1015
• Em listas de e-mail e de segurança: o que é uma blacklist de IP

A maioria das restrições é temporária; esperar e não recarregar a página sem parar costuma bastar. Ao desligar e ligar o roteador você pode cair em outro endereço público do pool; reunimos os métodos em como mudar o endereço IP. Se a sua conta foi restringida sem motivo, use o formulário de contestação da plataforma. Se o problema se repete muito, a solução duradoura é passar para um endereço não compartilhado, como explicamos abaixo. Tentar contornar um banimento aplicado por uma plataforma vai contra os termos dela e coloca a sua conta em um risco maior.

O que é o registro de CGNAT?#

Quando muita gente usa ao mesmo tempo um endereço público, a pergunta "quem se conectou a partir deste endereço a tal hora" não pode ser respondida só com o endereço. Por isso as operadoras guardam um registro da tabela do equipamento CGNAT: a qual assinante, em que momento, qual endereço público e qual porta foram atribuídos. A RFC 6888 lista o conteúdo desse registro como identificador do assinante, endereço público, porta, protocolo e marca de tempo. A RFC 6302, voltada aos sites, recomenda pelo mesmo motivo que os servidores registrem não só o IP do visitante, mas também a porta de origem e o horário com precisão de segundos.

Como sair do CGNAT?#

O CGNAT é feito na rede da operadora, então não dá para desligá-lo com um ajuste no roteador, trocando o DNS ou com um programa. Os caminhos são estes:

1. Peça à operadora para tirar a sua linha do CGNAT. Ligue para o atendimento ou abra um pedido na central do assinante. Diga com clareza: "Minha linha está atrás de CGNAT e não consigo abrir portas; quero um endereço IP público". Algumas operadoras fazem isso de graça, outras só oferecem como serviço adicional pago.
2. Contrate um IP fixo. O endereço fixo oferecido por uma mensalidade é sempre um endereço público, portanto fica fora do CGNAT. Se você usa câmeras, um servidor ou autorização por IP, essa é a solução mais limpa. A diferença em relação ao IP público dinâmico está no nosso artigo sobre IP fixo e IP dinâmico.
3. Use IPv6, se houver. No IPv6 não falta endereço, cada dispositivo recebe o próprio endereço público e o CGNAT não entra em cena. Se a sua operadora entrega IPv6 e tanto o dispositivo que você quer alcançar quanto a rede de onde você se conecta aceitam IPv6, o acesso de fora pode ser montado por esse caminho.
4. Se o acesso direto não for indispensável, use um serviço intermediário. O app em nuvem do fabricante da câmera ou os serviços de túnel que iniciam a conexão de casa para fora não são afetados pelo CGNAT.

A forma como as operadoras tratam esse pedido muda de país para país. Em Türkiye, por exemplo, muitas linhas residenciais ficam atrás de CGNAT, e o assunto é tão comum que os fóruns têm uma expressão pronta para ele: "sair do pool de CGNAT". Lá os assinantes ligam para o atendimento e pedem para ser retirados do pool; conforme a operadora e o plano, a mudança é feita de graça ou fica atrelada a um IP fixo pago. As condições mudam com o tempo, então pergunte à sua operadora quais são as atuais em vez de confiar em tópicos antigos de fórum.

Depois que a mudança for feita, desligue e ligue o roteador e repita o teste. Se os dois endereços forem iguais, você saiu do CGNAT e as suas regras de portas passam a funcionar.

Qual é a relação entre CGNAT e proxies?#

Proxy é um servidor intermediário que sai para a internet no seu lugar a partir de outro endereço, e ele só muda o endereço da conexão que vai de você para fora. Não abre portas para a sua casa, não muda o tipo de NAT do console e não dá acesso de fora à sua câmera. A solução para isso está na operadora. Produtos como Proxies para jogos mudam a rota até o servidor do jogo e o endereço que ele enxerga; não resolvem um problema de tipo de NAT.

O verdadeiro equivalente do CGNAT no mundo dos proxies é o proxy móvel. Nas redes móveis, atrás de um endereço público há ao mesmo tempo um grande número de assinantes reais. Se um site bloqueia esse endereço, bloqueia junto todos os clientes reais que o usam naquele momento. Por isso os sites costumam ser mais tolerantes com os endereços das operadoras móveis. É exatamente esse o mecanismo de confiança dos Proxies móveis; os detalhes estão em Proxies móveis: o que são e quando compensam e na comparação entre proxies residenciais e proxies móveis.

Existe também a necessidade contrária: se o seu trabalho exige sair sempre com o mesmo endereço não compartilhado (por exemplo, para cadastrá-lo na lista de IPs de uma API), o fato de a linha de casa estar atrás de CGNAT não atrapalha. Os Proxies ISP dão a você um endereço reservado que não muda; como é você quem inicia a conexão, o CGNAT não afeta esse tráfego. O que diferencia esse tipo está no nosso artigo sobre proxy ISP e proxy residencial.

Erros comuns#

• Resetar ou trocar o roteador. O problema não está no roteador, e sim na rede da operadora. Um roteador novo recebe o mesmo endereço interno.
• Tentar sair do CGNAT trocando o DNS. O DNS só converte nomes de sites em endereços IP; não muda o endereço que você recebe.
• Achar que a VPN acaba com o CGNAT. A VPN muda o seu endereço de saída, mas esse endereço também é compartilhado, e a maioria das VPNs não abre porta para conexões de entrada.
• Confundir NAT duplo com CGNAT. Se o endereço WAN do seu roteador começa com 192.168, o equipamento à frente dele provavelmente é um segundo roteador do prédio ou da casa. Confira isso antes de ligar para a operadora.

Guia de decisão#

Perguntas frequentes#

O CGNAT deixa a internet mais lenta?#

No uso do dia a dia, não. O seu tráfego passa por um equipamento a mais; se ele estiver sobrecarregado, a latência pode subir, mas isso é um problema de capacidade da operadora. Se o ping está alto, procure a causa primeiro no Wi-Fi, na qualidade da linha e na distância até o servidor.

O CGNAT é seguro? Ele aumenta a segurança?#

Como não dá para abrir uma conexão de fora em direção a você, os dispositivos da sua casa não podem ser varridos diretamente pela internet; é um pequeno benefício colateral. Mas o CGNAT não é um produto de segurança; ele não impede uma conexão que você mesmo inicia com um site malicioso.

Sair do CGNAT custa dinheiro?#

Depende da operadora e do plano. Algumas passam a linha de graça para um IP público dinâmico quando você pede, outras só tiram com um IP fixo pago por mês. Pergunte à sua operadora quais são as condições atuais; as informações dos fóruns podem estar desatualizadas.

Meu endereço IP fica fixo depois que eu saio do CGNAT?#

Não. Sair do CGNAT dá a você um endereço público, mas esse endereço pode continuar dinâmico e mudar quando o roteador se reconecta. Para abrir portas e para o tipo de NAT isso basta. Se o endereço não pode mudar nunca, você também precisa contratar um IP fixo.

Dá para sair do CGNAT na internet móvel?#

Em linhas móveis de pessoa física, na prática não; as redes móveis são construídas sobre CGNAT. É por isso também que o tipo de NAT fica estrito quando você joga usando o celular como roteador.

Posso usar um proxy atrás de CGNAT?#

Sim. É você quem inicia a conexão com o proxy, então o CGNAT não interfere nesse tráfego. Só use usuário e senha na autenticação, em vez de colocar o seu endereço compartilhado e variável na whitelist de IP.

Em resumo#

CGNAT é a divisão de um único endereço público entre muitos assinantes, feita pelas operadoras porque os endereços IPv4 acabaram. Se o endereço WAN do seu roteador é diferente do que você vê em um site de "qual é o meu IP", você está atrás de CGNAT. Isso não afeta a navegação; atrapalha a abertura de portas, o tipo de NAT no console, o acesso à sua casa vindo de fora e a autorização por IP. A solução não está no roteador, e sim na operadora: peça para sair do CGNAT, um IP fixo ou IPv6. Se o seu trabalho exige sair sempre com o mesmo endereço ou trabalhar com endereços de operadoras móveis, conheça os nossos serviços de proxy.