Configuração de port block allocation: guia prático para provedores

Como funciona a configuração de port block allocation?

Na primeira conexão, o assinante recebe um lote de portas num IP público, e todas as conexões seguintes usam esse lote até ele encher. O log só ganha uma linha quando um lote novo sai ou um lote vazio volta ao pool.

O CGNAT dinâmico aproveita cada porta, mas escreve uma linha para cada conexão aberta. O determinístico quase não escreve nada, mas deixa portas reservadas paradas enquanto o cliente dorme. Os blocos ficam no meio desses dois extremos.

É uma das escolhas de desenho da guarda de logs de CGNAT para provedores, ao lado do prazo de guarda, do formato das linhas e de onde fica a cópia.

O ciclo de vida de um bloco de portas

Cada bloco passa por quatro estados, e só dois deles geram linha no log. O fluxo abaixo mostra o caminho de um lote desde a primeira conexão do assinante.

O que vai em cada linha de registro

Uma linha útil traz o endereço interno do assinante, o IP público, a primeira e a última porta do lote, o evento e o horário com fuso. Sem qualquer um desses campos, a consulta para no meio.

O endereço interno ainda precisa ser ligado ao login, pelo histórico de sessões PPPoE guardado no RADIUS. A linha do bloco responde qual endereço interno; a sessão responde qual contrato.

Qual tamanho de bloco escolher?

Blocos maiores geram menos linhas de log e desperdiçam mais portas; blocos menores fazem o contrário. Lotes de 512 portas costumam ser o ponto de partida, ajustado depois pelo consumo medido.

O tamanho certo depende de quantas portas o assinante típico usa no pico e de quanto log o servidor aguenta guardar pelo prazo exigido. A tabela mostra o que muda em cada faixa comum.

Se a faixa usada em cada IP público for de 1024 a 65535, cabem 126 lotes de 512 portas por IP. É esse número, dividido pelo limite de lotes por assinante, que mostra quantos clientes pesados um IP aguenta ao mesmo tempo.

Limite de blocos por assinante

O limite impede que um único cliente, com um aparelho infectado ou um programa de torrent agressivo, esgote o IP público inteiro. Sem limite, os vizinhos de IP sentem a falta de portas.

Quatro lotes de 512 dão 2.048 portas ao assinante, o que cobre a maioria das casas [CONFIRMAR com medição na rede]. Quem bate no limite com frequência merece investigação antes de ganhar mais portas.

O tempo de vida do bloco ativo

Alguns equipamentos permitem trocar o bloco ativo depois de um tempo, mesmo que ele ainda tenha portas livres. O lote antigo só é devolvido quando as conexões dele terminam.

A troca periódica dificulta que alguém de fora preveja as portas de um assinante, mas gera mais linhas no log. Use um valor que a equipe consiga justificar e documente na configuração.

Configuração de port block allocation passo a passo

A configuração de port block allocation exige o servidor de registros pronto antes de ligar os blocos, porque cada lote entregue sem linha guardada é uma lacuna na resposta a um ofício. Depois vêm o pool, o tamanho e o limite.

1. Servidor de registros: coleta redundante, com espaço calculado para o prazo de guarda.
2. Relógio: CGNAT, RADIUS e servidor sincronizados com a mesma fonte de horário.
3. Pool público: separe os IPs que vão operar com blocos.
4. Tamanho e limite: defina o tamanho do lote e quantos lotes cada assinante pode ter.
5. Exportação: envie cada entrega e devolução na hora por syslog ou IPFIX.
6. Teste: faça conexões com um login de teste e procure as linhas no servidor.

O exemplo cria um pool com blocos de 512 portas e no máximo quatro blocos por cliente. O pool tem 64 IPs públicos, o /26 de documentação 203.0.113.0.

security {
    nat {
        source {
            pool CGNAT-BLOCOS {
                address {
                    203.0.113.0/26;
                }
                port {
                    block-allocation {
                        block-size 512;
                        maximum-blocks-per-host 4;
                        active-block-timeout 300;
                    }
                }
            }
        }
    }
}

O active-block-timeout de 300 segundos é o tempo de vida do bloco ativo descrito acima [CONFIRMAR no manual da versão]. Confira os nomes exatos de cada opção no manual do equipamento que você usa.

Como tirar o registro do equipamento

O log precisa sair do CGNAT no momento do evento, para um servidor com horário sincronizado. Registro guardado só na memória do equipamento some na primeira reinicialização.

O syslog é o caminho mais simples de montar. O IPFIX, que a implantação de IPFIX detalha, gera registros estruturados e mais fáceis de consultar em grande volume.

E no MikroTik?

O RouterOS não tem alocação por blocos pronta. Provedores com MikroTik costumam usar o modo determinístico com regras geradas por script.

Outra saída é levar o CGNAT para um BNG ou equipamento dedicado que tenha a função nativa, mantendo o MikroTik nas outras tarefas.

Blocos ou determinístico: quando vale cada um?

Os blocos valem quando o equipamento tem a função e a equipe consegue manter um servidor de registros confiável. Sem essas duas condições, o determinístico é mais simples de operar.

• Blocos: aproveitam melhor os IPs públicos e acompanham o cliente que usa muitas portas.
• Determinístico: dispensa servidor de log de traduções, mas reserva portas que ficam paradas.
• Equipamento: a alocação por blocos depende de suporte nativo no CGNAT.
• Operação: blocos pedem coleta redundante; o determinístico pede controle rigoroso de versões.

Compare com a configuração de NAT determinístico, que traz a conta das faixas fixas e a consulta reversa por fórmula. Para reduzir a dependência de CGNAT a longo prazo, veja a implantação de NAT64.

Na prática, quanto o log diminui

A redução depende de quantas conexões cabem em cada lote antes de ele ser devolvido. Um assinante que abre centenas de conexões por hora pode gerar só duas ou três linhas no mesmo período.

Para estimar o espaço do servidor, conte as entregas e devoluções durante uma semana num grupo de teste e projete para a base inteira [CONFIRMAR com medição na rede]. Cada conexão que sai por IPv6 fica fora dessa conta.

Erros comuns na alocação por blocos

Os erros mais comuns deixam o registro incompleto sem que ninguém perceba, porque o assinante continua navegando normalmente. A falha só aparece quando um ofício pede um horário que não está no log.

O último item é traiçoeiro: o syslog por UDP não avisa quando a linha se perde. Um alarme que conta linhas recebidas por minuto mostra na hora quando a coleta parou.

Portas e jogos online

Jogos e chamadas de vídeo sofrem quando o assinante chega ao limite de lotes ou quando o NAT muda a porta no meio da partida. O guia sobre CGNAT travando jogos separa esses casos.

Antes de aumentar o limite de lotes, confira se o problema é falta de portas ou o tipo de NAT que o jogo enxerga. São ajustes diferentes no mesmo equipamento.

Checklist de validação dos blocos

Teste uma consulta completa com um login de teste antes de precisar dela num ofício real. A validação cobre a entrega do lote, a linha no servidor e o caminho até o contrato.

A Táquion Tech configura a alocação por blocos no CGNAT, monta o servidor de registros com cópia e alarme e testa a consulta com um login real antes de liberar a base.

Perguntas frequentes sobre configuração de port block allocation

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech