O que é CGNAT? IP compartilhado e redirecionamento de portas

O CGNAT (Carrier-Grade NAT, ou NAT de nível de operadora) é a tradução de endereços IPv4 feita dentro da rede do provedor de internet. Com ele, vários assinantes compartilham um mesmo endereço IPv4 público. As conexões de saída costumam funcionar normalmente, mas o acesso de fora a um servidor em casa pode ficar indisponível sem uma solução oferecida pelo provedor.

CGNAT vs. o seu roteador doméstico

O seu roteador já pode traduzir dispositivos como 192.168.1.20 para o endereço externo dele. Com CGNAT, o provedor traduz esse endereço externo mais uma vez para um IPv4 público compartilhado. Passam a existir, então, duas tabelas de tradução entre um servidor remoto e o seu dispositivo. Você só consegue configurar a tabela de casa; uma regra de redirecionamento de portas no seu roteador não cria uma regra correspondente nos equipamentos do provedor. Essa camada extra pode passar despercebida na navegação, mas faz toda a diferença quando alguém tenta se conectar à sua casa.

Como identificar

Encontre o endereço IPv4 da interface externa do roteador na página de status dele. Compare-o com o endereço exibido pela consulta de endereço IP da 2IP. Se forem diferentes e nem uma VPN nem um segundo roteador em casa explicarem a diferença, é possível que haja tradução no provedor. Os provedores costumam usar 100.64.0.0/10, um espaço de endereços compartilhado que vai de 100.64.0.0 a 100.127.255.255. Ele é definido na RFC 6598 e é diferente dos blocos privados da RFC 1918. A ausência dessa faixa específica não descarta o CGNAT, porque as operadoras podem usar outro plano de endereçamento.

Por que um teste de porta pode falhar

Um teste local pode mostrar que a sua aplicação está escutando, enquanto um teste de porta externo não consegue alcançá-la. Com CGNAT, o pacote de entrada chega primeiro ao endereço compartilhado do provedor, que precisa de um mapeamento para saber qual assinante deve recebê-lo. Antes de culpar o CGNAT, verifique o serviço em si, a porta TCP ou UDP, o firewall de casa e a regra do roteador. VPNs, proxies na nuvem e roteadores adicionais podem causar sintomas parecidos. Um teste de porta é só uma observação, não um teste completo da saúde da aplicação.

O que conversar com o provedor

Pergunte se é possível ter um endereço IPv4 público e conexões de entrada e se o endereço seria fixo ou dinâmico. Se as duas pontas suportarem IPv6, você pode publicar o serviço por IPv6, com regras de firewall bem restritas. Algumas aplicações, em vez disso, abrem uma conexão de saída protegida até um relay; isso traz questões de confiança e de segurança. Não exponha um dispositivo inteiro só para fazer um teste de porta dar certo. O CGNAT, por si só, não significa que o acesso comum à internet está com problema, nem esconde a identidade do assinante do próprio provedor.