Guias · Noções de rede

O que é CGNAT, e por que não consigo fazer redirecionamento de portas?

Escrito por Aldo · threat hunter em um blue team
Última atualização: 9 de novembro de 2026 · 5 min de leitura

Você configurou o redirecionamento de portas para um servidor de jogo, uma câmera ou um servidor caseiro, exatamente como o tutorial mandava. De fora, nada conecta. O roteador não está com defeito. A sua conexão talvez simplesmente não tenha um endereço público próprio.

O que é CGNAT

Não existem endereços IPv4 suficientes para cada casa e cada celular. O seu roteador já resolve isso dentro de casa: todos os seus aparelhos dividem um endereço público, e o roteador (com NAT, a tradução de endereços de rede) controla a qual aparelho pertence cada conversa.

O CGNAT faz a mesma coisa um nível acima. Os equipamentos do seu provedor dividem um endereço público entre muitos clientes, e o seu roteador recebe em troca um endereço privado do provedor. As conexões de saída funcionam normalmente: navegar, ver streaming e fazer chamadas vai bem. O problema são as conexões de entrada. Quando alguém de fora se conecta ao endereço público compartilhado, o NAT do provedor não faz ideia de qual cliente ele procura, então descarta a conexão. Redirecionar portas no seu roteador não muda isso, porque a conexão nunca chega ao seu roteador.

As redes móveis usam CGNAT quase em todo lugar. Muitos provedores de fibra e cabo também, principalmente os mais novos e os que dão IPv6 nativo com o IPv4 encapsulado por um gateway compartilhado (uma configuração chamada DS-Lite).

Um exemplo real: a faixa de endereços que denuncia

Os provedores costumam numerar o lado dos clientes do CGNAT com um bloco reservado exatamente para isso, 100.64.0.0/10. Colocamos o bloco na calculadora de sub-rede do iplover:

Daí a regra prática: se o endereço de internet do seu roteador começa com 100. e o segundo número está entre 64 e 127, você quase certamente está atrás de CGNAT. Endereços de 100.0 a 100.63 e de 100.128 em diante são públicos comuns; só esse bloco do meio é espaço compartilhado.

Confira a sua conexão em dois minutos

1. Encontre o endereço de internet do seu roteador. Abra a página de administração do roteador (muitas vezes 192.168.0.1, 192.168.1.1 ou, em muitos roteadores da Vivo, 192.168.15.1; o nosso guia do roteador mostra como encontrar) e procure “WAN”, “Internet” ou “Status da conexão”.
2. Encontre o seu endereço público. Abra a página inicial do iplover; o endereço grande no topo é o que a internet vê.
3. Compare os dois.

Uma segunda pista é a rota de saída. No Windows, rode tracert -d 8.8.8.8; no macOS ou no Linux, traceroute -n 8.8.8.8. Se o salto logo depois do seu roteador tem um endereço entre 100.64 e 100.127, normalmente é o NAT do provedor. (Alguns provedores usam essa faixa dentro da rede por outros motivos, então trate isso como indício, não como prova.)

Como contornar

O UPnP e recursos parecidos de abertura automática de portas só conversam com o seu próprio roteador, então também não conseguem atravessar o NAT do provedor.

O que o CGNAT significa para o seu endereço

Atrás de CGNAT, o endereço público que os sites veem é compartilhado com outros clientes no mesmo momento. Isso tem efeitos colaterais: o mau comportamento de um cliente pode fazer o endereço compartilhado ser bloqueado ou marcado, os sites podem mostrar mais captchas para você, e o endereço na página inicial do iplover não é “seu” em nenhum sentido duradouro. Também significa que um endereço no log de alguém não pode ser ligado a uma única casa sem os registros do provedor sobre qual cliente usou qual porta em qual segundo.