Como funciona suporte a CGNAT: o atendimento do NAT para provedores

Como funciona suporte a CGNAT: o NAT mapeado antes da primeira reclamação

O suporte começa por um levantamento do NAT que já está em produção, feito só com leitura. Sem esse mapa, cada chamado começaria descobrindo como as portas são distribuídas.

O CGNAT é a tradução que faz muitos assinantes dividirem poucos IPv4 públicos, cada um usando uma parte das portas de um endereço. O suporte cuida desse NAT depois que ele foi implantado: portas que faltam, consoles no estrito, CPU no teto e ofícios que o log não responde.

A Táquion Tech cuida do suporte a CGNAT de forma remota, com usuário próprio no equipamento e ajustes só em janela aprovada. Instalar ou trocar o equipamento é outro trabalho, feito na implantação de CGNAT.

O que entra no mapa do NAT

O mapa é um documento curto que o provedor recebe e que o Especialista consulta a cada chamado. Ele responde de cara as perguntas que mais atrasam um atendimento de NAT.

• Pools: quais IPv4 públicos traduzem quais assinantes e como cada pool é anunciado na borda.
• Modelo de portas: determinístico, por blocos ou dinâmico, com o tamanho da faixa e o limite por assinante.
• Tempos de expiração: quanto cada tipo de sessão TCP e UDP segura a porta depois do último pacote.
• Log: para onde os registros vão, por quanto tempo ficam e de qual fonte de relógio vem o horário.
• Onde roda: equipamento dedicado ou concentrador PPPoE que também faz filas e autenticação.

A medição de pico que vira referência

Na preparação, o equipamento é medido de manhã e no horário de maior uso: conexões abertas, CPU, memória e quantos assinantes chegam perto do limite de portas. Esses números ficam no registro como o retrato do NAT saudável.

Quando um chamado chega, a primeira pergunta é o que mudou em relação a esse retrato. A lógica de medir o uso de portas em campo está no guia sobre quantas portas por cliente no CGNAT.

Que tipo de chamado chega ao suporte de CGNAT e como cada um é tratado?

Chegam quatro tipos de chamado, e cada um começa por uma medição diferente. A tabela mostra o que o técnico manda, o que é medido e como se confirma que deu certo.

A gravidade de cada tipo define o prazo de resposta: NAT parado tira a base inteira do ar, enquanto um console no estrito atinge poucos assinantes [PREENCHER prazos por gravidade] [CONFIRMAR oferta].

Agrupar as reclamações antes de abrir o chamado

A reclamação de CGNAT chega espalhada, um banco aqui e um jogo ali, e isolada parece defeito do assinante. Agrupada por horário, aplicativo e IP público, ela mostra o padrão que leva à regra certa.

Reclamação concentrada em jogos tem roteiro próprio, descrito no guia sobre CGNAT travando jogos, que vale ler antes de alguém mexer no comportamento do NAT.

O caminho de um chamado de portas no horário de pico

O chamado de portas é o mais comum e mostra bem o método: medir no pico, ajustar em janela, registrar a data e testar o log. A ordem importa, porque pular o registro quebra ofícios futuros.

Como funciona suporte a CGNAT quando o ajuste muda a faixa de portas?

No NAT determinístico, a faixa de cada assinante sai de uma fórmula, e mudar o tamanho da faixa muda a resposta de qualquer ofício sobre datas anteriores. Por isso a fórmula antiga e a data da troca ficam guardadas junto com a nova.

Na alocação por blocos, a mudança de tamanho ou de limite costuma afetar só blocos novos, mas a data também é registrada. O guia de configuração de port block allocation mostra o que cada linha desse log contém.

# Quem usava 198.51.100.20, porta 40123, entre 21h14 e 21h15 de 03/11
grep "198.51.100.20" /var/log/cgnat/2026-11-03.log \
  | grep -E "21:1[45]:" \
  | awk '$0 ~ /40123/'

# Resultado esperado: uma linha, com o endereço interno do assinante
# 2026-11-03 21:14:52 nat 100.64.18.77 -> 198.51.100.20 portas 40000-40511

# Depois, o endereço interno é procurado no RADIUS no mesmo horário
# para chegar ao login PPPoE do assinante

Se a consulta devolve duas linhas ou nenhuma, o chamado não fecha: algo no ajuste, no relógio ou no envio do log precisa ser revisto antes.

O que a equipe do provedor tem à mão quando abre um chamado de NAT?

A equipe precisa de dados do assinante e do momento da falha, porque o NAT só pode ser lido para um endereço e um horário. Sem isso, a medição vira uma varredura do equipamento inteiro.

Quando o problema é um IP do pool em lista de bloqueio, o chamado também traz o endereço e o nome da lista. O guia sobre IP do provedor em blacklist explica por que um assinante afeta dezenas.

O que o provedor recebe no fim de cada chamado de CGNAT

O provedor recebe o registro do chamado, o histórico de mudanças do NAT atualizado e o resultado da consulta de conferência. Quando o caso passa do que um ajuste resolve, vem também a recomendação do projeto certo.

• Registro do chamado: sintoma, medição, causa e o ajuste aplicado, com a configuração de antes e de depois.
• Histórico do NAT: cada mudança de faixa, limite ou tempo com data e hora, base para responder ofícios futuros.
• Consulta de conferência: o trio IP público, porta e horário testado e o assinante que ele devolveu.
• Recomendação: quando o ajuste não basta, a indicação de dimensionamento, guarda de logs ou correção de NAT estrito.

O histórico do NAT é a entrega que mais protege o provedor. A guarda dos registros de conexão é exigida pelo Marco Civil da Internet [CONFIRMAR na norma], e uma consulta que aponta o assinante errado vira problema jurídico.

Como esse atendimento entra numa proposta, com consultas incluídas ou cobradas à parte, é tema do guia sobre quanto custa suporte a CGNAT.

Erros que comprometem o atendimento do NAT

Os erros que mais custam são os que mexem nas portas sem registro ou fecham o chamado sem testar o log. O efeito aparece semanas depois, num ofício ou no pico seguinte.

O sinal de que algo passou despercebido costuma ser o mesmo ajuste pedido de novo poucos meses depois. Nesse ponto, o chamado deixa de ser suporte e o assunto passa a ser capacidade ou projeto.

Exemplo: aplicativo de banco falhando às 21h

O caso é ilustrativo e mostra um chamado de portas do começo ao fim, num NAT por blocos. O ajuste foi pequeno; o cuidado com o log foi o que levou mais tempo.

Um provedor com NAT por blocos de 512 portas e limite de um bloco por assinante recebeu, numa semana, reclamações de aplicativo de banco e de câmeras que caíam à noite. De manhã, os mesmos assinantes não tinham problema.

A CPU e o pool tinham folga, então a causa era o limite de um bloco, e não o equipamento. O ajuste permitiu um segundo bloco por assinante, aplicado de madrugada, com a data e a hora anotadas no histórico do NAT.

No pico seguinte, ninguém encostou no limite. A consulta de conferência pegou uma sessão de um assinante com dois blocos e devolveu o login certo nos dois, e só então o chamado foi fechado com o registro.

Para entender de onde vêm as portas que cada casa consome, o guia sobre como funciona CGNAT mostra a tabela de traduções no caminho de um pacote.

Perguntas frequentes

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech