CGNAT como resolver: cada problema e a correção, para provedores
CGNAT como resolver: primeiro descubra qual problema ele está causando, porque câmera sem acesso, IP bloqueado, falta de porta e ofício sem resposta têm correções diferentes. Quase tudo se resolve no próprio provedor, com IPv6 até a casa, ajuste do equipamento de NAT, registro completo e IP público só para quem precisa receber conexões.
Resumo
- O CGNAT quase nunca é o problema inteiro; ele é o ponto onde vários problemas diferentes aparecem juntos.
- Tudo que exige conexão vinda de fora, como câmera, DVR e servidor caseiro, pede IPv6 ou IP público.
- Bloqueio por reputação, falta de porta e CPU alta se corrigem dentro do provedor, sem mexer no assinante.
- Ofício sem resposta é falha de registro, e só se resolve com porta, horário e relógio sincronizado por NTP.
Quando o CGNAT vira problema na rede do provedor
O CGNAT vira problema em quatro momentos: quando um assinante precisa receber conexões, quando cada IP público passa a ter gente demais, quando chega um ofício e quando o equipamento único chega ao limite. Antes disso, quem só navega nem percebe que divide endereço.
Na maior parte da base, o compartilhamento de IP passa despercebido: vídeo, rede social e aplicativo de banco abrem a conversa de dentro para fora, e o NAT do provedor dá conta disso. O incômodo começa nas bordas da base, com o assinante que tem câmera, o que trabalha de casa por VPN e o que joga.
Do lado do provedor, os problemas surgem quando a base cresce mais rápido que a revisão do equipamento. Uma implantação de CGNAT feita com a base de dois anos atrás costuma ter poucas portas por cliente, registro incompleto e nenhum segundo caminho se o equipamento parar.
Casa · Aparelhos
Câmera, console e notebook
É aqui que o assinante sente o problema, mas quase nunca é aqui que ele nasce.
Casa · Roteador
Primeiro NAT
Redirecionamento de portas e UPnP funcionam só até aqui; daqui para fora, não alcançam.
Provedor · CGNAT
Segundo NAT
Nascem a falta de porta, o NAT estrito, a CPU alta e a falha de registro.
Provedor · IP público
Endereço dividido
Nasce o bloqueio por reputação, porque um assinante suja o IP de todos os vizinhos.
Saber em que etapa o problema nasce evita a visita técnica inútil: nada do que se faz no roteador da casa muda o comportamento do CGNAT.
Por que o assinante não sabe que o problema é o CGNAT
O assinante descreve o efeito, nunca a causa. Ele liga dizendo que o aplicativo da câmera mostra a imagem offline, que o site do banco pede captcha toda hora ou que a VPN da empresa conecta e cai.
Para o atendente, nenhum desses chamados parece problema de rede, porque a internet funciona. Por isso vale ensinar o primeiro nível a perguntar se o cliente precisa acessar algo de casa estando fora, que é a pista mais direta de que o compartilhamento de IP está no meio.
CGNAT como resolver: tabela de problemas e correções
Cada problema tem uma causa própria dentro do CGNAT e uma correção que fica no provedor, não no assinante. A tabela organiza os casos que mais aparecem no suporte.
| Problema | O que chega ao suporte | Causa no CGNAT | Correção no provedor |
|---|---|---|---|
| Acesso remoto | Câmera ou DVR offline no aplicativo fora de casa | Não há caminho de fora para dentro sem conversa aberta | IPv6 até a casa ou IP público opcional |
| Jogos | NAT estrito, partida que não fecha | Mapeamento e filtragem restritivos | Ajuste de mapeamento e IPv6 |
| Reputação | Captcha constante, site ou e-mail bloqueado | Um vizinho de IP gerou abuso | Monitorar listas, isolar o abusador, trocar o IP do pool |
| VPN antiga | VPN da empresa conecta e cai | Protocolo sem suporte a NAT duplo | NAT-T no cliente ou IP público para a empresa |
| Falta de porta | Lentidão e falhas só à noite | Bloco de portas pequeno para a casa | Refazer a conta de portas por cliente |
| CPU alta | Toda a base lenta no pico | Tráfego demais passando pela tradução | IPv6 para tirar tráfego e revisão do equipamento |
| Ofício | Pedido judicial sem titular encontrado | Registro sem porta ou relógio errado | Registro completo e NTP em todos os equipamentos |
Repare que só duas linhas pedem mexer na casa do assinante, e mesmo nelas a parte principal é do provedor. O resto é configuração, conta e registro, que é onde costuma estar a raiz dos chamados repetidos.
Para quem ainda tem dúvida sobre o caminho do pacote e as três formas de dividir portas, o guia sobre como funciona o CGNAT explica a base. Aqui o foco é o conserto de cada linha da tabela.
Como resolver câmera, DVR e acesso remoto atrás do CGNAT?
Atrás do CGNAT, câmera e DVR só voltam a ser acessados de fora com IPv6 até a casa, com o serviço em nuvem do fabricante ou com um IPv4 público dedicado. Abrir porta no roteador do cliente não resolve, porque o bloqueio está no provedor.
O acesso remoto falha porque ninguém de fora consegue iniciar uma conversa com um endereço compartilhado. O pacote chega ao IP público do provedor e o CGNAT não tem para qual casa entregar, já que nenhuma linha da tabela de traduções aponta para a câmera.
- IPv6 até a casa: com prefixo entregue ao roteador, a câmera que fala IPv6 ganha endereço próprio e alcançável.
- Nuvem do fabricante: muitos gravadores mantêm uma conexão de saída com um servidor, e o aplicativo usa esse caminho.
- IPv4 público opcional: resolve qualquer equipamento, mas gasta um endereço do estoque por assinante.
- Porta fixa no CGNAT: possível em alguns equipamentos, mas cada exceção precisa entrar no registro.
Os mesmos chamados de CGNAT voltam toda semana?
Na implantação de CGNAT, um Especialista revisa mapeamento, portas, registro e IPv6 da sua rede e testa câmera, console e consulta de ofício antes de liberar a base.
Exemplo: a loja que não vê as câmeras de casa
Um caso típico mostra a ordem certa de tentativa. Uma loja num plano residencial instala um gravador e, de casa, o dono não consegue ver as imagens.
- Diagnóstico: o técnico confere a WAN do roteador da loja e acha um endereço da faixa 100.64.0.0/10, sinal de CGNAT.
- Primeira opção: o gravador tem acesso pela nuvem do fabricante, que é ligado e resolve sem gastar endereço.
- Se não tiver nuvem: o provedor confere se o roteador recebe prefixo IPv6 e se o gravador aceita IPv6.
- Último caso: o provedor oferece um IPv4 público fixo, de preferência num plano empresarial.
A ordem importa porque o IPv4 público é o recurso mais escasso do provedor. Quem entrega endereço a todo pedido de câmera esvazia o pool e volta a ter o problema que o CGNAT veio resolver.
IP bloqueado, captcha e VPN que cai, como resolver no CGNAT?
Bloqueio e captcha se resolvem achando o assinante que sujou o IP e tirando o endereço das listas, e a VPN que cai se resolve com NAT-T no cliente ou com IP público para a empresa. Os dois casos parecem defeito do site ou da empresa, mas nascem no compartilhamento.
Quando vários assinantes saem pelo mesmo IP, o comportamento de um vira a fama de todos. Um computador infectado mandando spam ou fazendo varredura coloca o endereço numa lista de bloqueio, e dezenas de vizinhos passam a ver captcha ou e-mail recusado.
- Achar a origem: cruzar o horário do abuso com o registro do CGNAT para chegar ao endereço interno e ao login.
- Isolar: avisar o assinante e, se preciso, limitar o tráfego dele até a máquina ser limpa.
- Limpar: pedir a remoção do IP em cada lista, conforme o processo de cada uma.
- Prevenir: bloquear a saída na porta 25 para a base residencial e acompanhar as listas com um alerta.
O processo de remoção, lista por lista, está no guia sobre IP do provedor em blacklist. Enquanto a limpeza não sai, trocar a saída daquele grupo para outro IP do pool alivia os vizinhos.
VPN de trabalho remoto atrás do CGNAT
VPNs modernas atravessam NAT encapsulando o tráfego em UDP, recurso chamado NAT-T. As antigas, como PPTP, e o IPsec sem NAT-T dependem de protocolos que o NAT duplo não traduz bem.
A saída é ativar o NAT-T no lado da empresa ou trocar o protocolo. Quando o cliente é uma empresa com servidor de VPN em casa, o caso é de IP público fixo num plano empresarial.
Jogos e conversa entre vizinhos no mesmo CGNAT
NAT estrito tem causa e roteiro próprios, já cobertos no guia sobre CGNAT travando jogos. Um caso parecido e pouco lembrado é o de dois assinantes do mesmo CGNAT tentando se falar pelo IP público.
Para isso funcionar, o equipamento precisa devolver o pacote para dentro, recurso chamado hairpinning e exigido pela RFC 6888. Sem ele, o jogo ou a câmera do vizinho funciona para o resto do mundo e falha só entre clientes do mesmo provedor.
Problemas que só o provedor enxerga no CGNAT
Falta de porta, CPU alta, ofício sem resposta e queda total são problemas que o assinante sente, mas só o provedor consegue medir. Todos aparecem quando o CGNAT não acompanha o tamanho da base.
- Falta de porta: o sintoma é lentidão e falha só no pico; a correção é medir o consumo por cliente e refazer o bloco.
- CPU alta: o tráfego que já poderia sair em IPv6 continua passando pela tradução e sobrecarrega o equipamento.
- Ofício sem titular: o registro guarda IP e login, mas não a porta, ou o relógio do equipamento está adiantado.
- Queda total: com um equipamento só, o CGNAT parado derruba a base mesmo com fibra e concentrador no ar; o par está em como deixar CGNAT redundante.
A falta de porta é o mais silencioso dos quatro. O equipamento não avisa que recusou uma conexão, e o assinante vê só uma página que não carrega; a medição e a conta estão no guia sobre quantas portas por cliente no CGNAT.
Para a CPU, a correção mais duradoura é o IPv6: cada destino grande que sai sem tradução libera processamento e portas. O guia IPv6 tem CGNAT? mostra quanto ele costuma tirar do equipamento.
Confira o seu CGNAT antes do próximo pico
- Existe gráfico de portas em uso por IP público e por assinante.
- A CPU do equipamento tem folga no horário de maior uso.
- O registro guarda IP público, porta, endereço interno e horário.
- Todos os equipamentos têm o relógio sincronizado por NTP.
- Há um segundo caminho se o equipamento de CGNAT parar.
- O roteador da casa do assinante recebe prefixo IPv6.
Cada item sem marca é um problema esperando a hora de aparecer. Duas marcas ou menos indicam que o CGNAT foi montado para funcionar, mas não para ser operado.
O registro e o relógio respondem ao pedido judicial, e a guarda dos registros de conexão segue o Marco Civil da Internet [CONFIRMAR na norma]. A guarda de logs de CGNAT organiza esse registro fora do equipamento, e a alta disponibilidade de CGNAT trata a queda total.
Erros comuns ao tentar resolver o CGNAT
Os erros mais comuns resolvem o chamado da semana e criam o problema do mês seguinte. Quase todos vêm de tratar cada reclamação isolada, sem olhar o equipamento.
Evite
- Mandar técnico à casa abrir portas no roteador. O bloqueio está no provedor e o chamado volta.
- Dar IPv4 público a todo cliente que reclama. O pool acaba e a base volta a depender de comprar bloco.
- Aumentar o bloco de portas sem refazer a conta de clientes por IP. Alguns assinantes ficam sem endereço.
- Desligar o registro para aliviar a CPU. O próximo ofício fica sem resposta.
- Deixar o IPv6 para depois. Todo o tráfego segue na tradução e os sintomas pioram com a base.
O CGNAT exige registro de porta e horário, conta de portas revista com a base e IPv6 ligado junto; sem esses três, qualquer correção pontual dura pouco.
IPv6, IP público ou ajuste no CGNAT: como escolher a correção
A correção certa depende de quem sofre e do que essa pessoa precisa: receber conexões, sair sem bloqueio ou só navegar sem falha. Em geral, o ajuste no CGNAT vale para todos, o IPv6 para a maioria e o IP público para poucos.
| Situação | Correção que vence | Por quê |
|---|---|---|
| Toda a base com falha no pico | Ajuste no CGNAT | A causa é conta de portas ou capacidade, não o assinante |
| Muitos assinantes com câmera e console | IPv6 até a casa | Resolve em escala sem gastar IPv4 |
| Empresa com servidor, VPN própria ou câmeras antigas | IP público fixo | Precisa de endereço alcançável e estável |
| Assinante isolado com captcha e bloqueio | Limpeza do IP e troca de saída | O problema é a reputação do endereço |
A Táquion Tech implanta e revisa CGNAT de forma remota, com o consumo de portas medido, o registro testado com uma consulta simulada e o IPv6 entregue até o roteador do assinante. Quando a escolha do equipamento ou da proporção de clientes por IP está em dúvida, o dimensionamento de CGNAT refaz a conta com a base atual.
Perguntas frequentes
Dá para tirar um assinante do CGNAT?
Dá, entregando a ele um IPv4 público fixo, normalmente num plano empresarial ou como adicional. Como o endereço é escasso, faz sentido para quem precisa receber conexões, e não para quem só navega.
O IPv6 resolve todos os problemas do CGNAT?
Resolve boa parte, porque o tráfego em IPv6 sai sem tradução e cada casa ganha endereço próprio. Mas sites, jogos e equipamentos que só falam IPv4 continuam passando pelo CGNAT, que ainda precisa de ajuste.
Por que o redirecionamento de portas não funciona no CGNAT?
Porque ele abre portas só no roteador da casa, que é o primeiro NAT. O pacote de fora chega antes ao CGNAT do provedor, que não sabe para qual assinante encaminhar.
Como o assinante descobre que está atrás de CGNAT?
Basta comparar o endereço da WAN no roteador com o IP que um site de teste mostra. Se a WAN começa com 100.64 a 100.127 e o site mostra outro número, o CGNAT está no caminho.
Resolver o CGNAT exige trocar o equipamento?
Nem sempre. Muitos problemas se resolvem com ajuste de portas, mapeamento, registro e IPv6 no equipamento atual; a troca entra quando a CPU ou a memória não dão conta da base, mesmo depois desses ajustes.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 6888, Common Requirements for Carrier-Grade NATs (CGNs): requisitos de um CGNAT, entre eles o hairpinning e o limite de portas por assinante
- RFC 6269, Issues with IP Address Sharing: efeitos do IP compartilhado em conexões de entrada, reputação e identificação de usuários
- RFC 6598, IANA-Reserved IPv4 Prefix for Shared Address Space: reserva a faixa 100.64.0.0/10 usada do lado interno do CGNAT
