Você abriu a porta no roteador, conferiu o firewall, reiniciou tudo, e mesmo assim ninguém de fora consegue acessar sua câmera, seu servidor de jogo ou seu acesso remoto. Antes de gastar mais uma tarde nisso, vale fazer uma pergunta: a sua operadora usa CGNAT? Se usa, o problema não está no seu roteador, e nenhuma configuração dentro de casa vai resolver.
O que é CGNAT
CGNAT significa Carrier-Grade NAT, ou NAT em nível de operadora. Para entender, lembre como funciona a sua rede de casa: o roteador recebe um endereço IP da operadora e compartilha esse endereço com todos os aparelhos da casa, que usam IPs internos como 192.168.0.10. Isso é o NAT comum.
No CGNAT, a operadora faz a mesma coisa, só que um nível acima. Em vez de entregar um IP público para o seu roteador, ela entrega um IP interno da rede dela, e centenas ou milhares de clientes saem para a internet compartilhando um pequeno grupo de IPs públicos. Você continua navegando normalmente, mas não tem mais um endereço só seu na internet.
Por que as operadoras usam
Os endereços IPv4 acabaram. Existem cerca de 4,3 bilhões deles, e a demanda é muito maior. Comprar blocos novos ficou caro, então muitas operadoras, principalmente as que cresceram rápido, colocam os clientes residenciais atrás de CGNAT para economizar endereços. A saída de longo prazo é o IPv6, que tem endereços de sobra (veja a diferença entre IPv4 e IPv6).
O que o CGNAT atrapalha
Para navegar, ver vídeos e usar redes sociais, quase nada muda. Os problemas aparecem quando alguém de fora precisa iniciar uma conexão com você:
- Abrir portas não funciona. O redirecionamento de portas do seu roteador só vale até a rede da operadora. A conexão vinda da internet para no equipamento de CGNAT, que não sabe para qual cliente mandar.
- Câmeras e DVRs que dependem de acesso direto pelo IP deixam de funcionar de fora.
- Servidores em casa (Minecraft, site, Plex, VPN própria) ficam inacessíveis pela internet.
- Jogos online podem mostrar NAT estrito ou moderado e ter dificuldade para montar partidas ou chats de voz.
- Bloqueios compartilhados: como muita gente usa o mesmo IP público, um vizinho de IP que abuse de um serviço pode fazer você receber captchas ou bloqueios.
Como saber se você está atrás de CGNAT
O teste é comparar dois números: o IP que o seu roteador recebeu da operadora e o IP com que você aparece na internet.
1. Veja o IP público
Abra a ferramenta Meu IP e anote o endereço IPv4 que aparece. Esse é o IP com que os sites enxergam você.
2. Veja o IP WAN do roteador
Entre no painel do roteador (normalmente 192.168.0.1 ou 192.168.1.1 no navegador) e procure a página de status da internet, às vezes chamada de WAN, Internet ou Conexão. Anote o endereço IPv4 mostrado ali.
3. Compare
- Os dois são iguais: você tem IP público no roteador. Não há CGNAT, e abrir portas deve funcionar.
- O IP WAN começa entre
100.64e100.127: é CGNAT. Essa faixa,100.64.0.0/10, foi reservada justamente para isso. - O IP WAN é
10.x,172.16a172.31ou192.168.x: é um endereço privado. Pode ser CGNAT da operadora ou outro roteador seu na frente (o modem da operadora em modo roteador, por exemplo). Nesse segundo caso é um NAT duplo dentro de casa, que você mesmo consegue resolver colocando o modem em modo bridge.
Pista extra pelo traceroute
No computador, rode tracert 8.8.8.8 (Windows) ou traceroute 8.8.8.8 (Linux e macOS). Se um dos primeiros saltos depois do seu roteador tiver um endereço 100.64.x.x a 100.127.x.x, é forte sinal de CGNAT. Se tiver dúvida sobre como interpretar a saída, veja como ler um traceroute.
O que fazer se você está atrás de CGNAT
Peça um IP público à operadora
É a solução mais direta. Ligue ou abra chamado e peça um "IPv4 público" ou para tirar sua linha do CGNAT. Algumas operadoras fazem sem custo, outras cobram como serviço adicional ou oferecem só no plano empresarial. Se você precisa que o endereço não mude, peça IP fixo; entenda a diferença em IP fixo e IP dinâmico.
Use IPv6
Muitas operadoras com CGNAT entregam IPv6 público a cada cliente. Se o seu roteador e o seu serviço suportarem IPv6, quem também tiver IPv6 consegue acessar você diretamente, desde que o firewall do roteador libere a entrada. A ferramenta Meu IP mostra se você já tem um endereço IPv6.
Use um túnel ou VPN com saída pública
Serviços de túnel reverso e VPNs em malha criam a conexão de dentro para fora, o que passa pelo CGNAT. Outra opção é alugar um servidor barato na nuvem e fazer um túnel até ele. Funciona bem, mas adiciona latência e depende de um terceiro.
Prefira serviços em nuvem do próprio fabricante
Câmeras e DVRs modernos costumam oferecer acesso pelo aplicativo do fabricante, que também conecta de dentro para fora. Não é tão flexível quanto o acesso direto, mas resolve para a maioria das pessoas.
Depois de mudar, confirme
Quando a operadora tirar você do CGNAT, repita a comparação: o IP WAN do roteador deve ser igual ao IP mostrado no Meu IP. Em seguida, com o redirecionamento configurado e o serviço rodando, use o teste de porta para conferir de fora se a porta está aberta.