IPv6 tem CGNAT? O que muda na rede do provedor, explicado
IPv6 tem CGNAT? Não: no IPv6 cada casa recebe um prefixo próprio, com endereços de sobra, e nenhum assinante divide endereço com outro. O CGNAT continua existindo só para o tráfego que ainda sai em IPv4, e fica tanto mais leve quanto mais tráfego o provedor consegue levar pelo IPv6.
Resumo
- O IPv6 tem endereços suficientes para dar a cada casa um prefixo inteiro, por isso não precisa de tradução.
- Numa rede dual stack, a mesma casa usa dois caminhos, o IPv6 direto e o IPv4 passando pelo CGNAT.
- Técnicas como DS-Lite, NAT64 e 464XLAT não põem CGNAT no IPv6, mas carregam o IPv4 dentro dele até um tradutor.
- Vira problema quando o provedor acha que ligou o IPv6, mas ele para na borda e o CGNAT segue carregando tudo.
IPv6 tem CGNAT? A resposta curta e a longa
A resposta curta é não, porque o CGNAT existe para dividir um endereço escasso, e no IPv6 endereço não falta. A resposta longa é que o provedor ainda roda CGNAT, só que para a parte do tráfego que continua em IPv4.
O IPv4 tem cerca de 4,3 bilhões de endereços; o IPv6 tem cerca de 3,4 × 10³⁸. Com essa folga, o provedor recebe um bloco grande do Registro.br e entrega a cada assinante um prefixo inteiro, normalmente um /56 ou um /64 [CONFIRMAR recomendação do NIC.br], em vez de um endereço só.
Um /56 contém 256 redes /64, e cada /64 comporta mais endereços do que existem em todo o IPv4. Não há o que compartilhar, então não há porta para dividir, tabela de traduções para guardar nem proporção de clientes por IP para calcular. Esse é o lado do IPv6 no trabalho de IPv6 e CGNAT para provedores.
Por que o IPv6 dispensa dividir endereço
No IPv4, o CGNAT junta dezenas de casas atrás de um IP e separa cada conversa pela porta. No IPv6, o celular, a TV e o notebook do assinante têm endereços públicos próprios, que a internet alcança diretamente, sem troca no caminho.
Na prática, o concentrador entrega o prefixo ao roteador do cliente por DHCPv6, e o roteador distribui endereços aos aparelhos da casa. O guia de DHCPv6 com prefix delegation mostra essa entrega passo a passo.
E o NAT no IPv6, existe?
Existe tradução de prefixo no IPv6, descrita como NPTv6, usada em casos bem específicos de empresas com mais de um link. Ela troca um prefixo por outro do mesmo tamanho, sem dividir endereço entre clientes, e não é usada por provedores para atender assinantes.
Se alguém propõe NAT no IPv6 para economizar endereço, a proposta parte de um raciocínio do IPv4. Endereço IPv6 não precisa ser economizado; precisa ser bem planejado.
Na prática: dois caminhos saindo da mesma casa
Numa rede dual stack, cada aparelho do assinante tem um endereço IPv4 e um IPv6 ao mesmo tempo, e escolhe o caminho conforme o destino. O que tem IPv6 sai direto; o que só tem IPv4 passa pelo CGNAT.
Casa · Celular
O aparelho pergunta ao DNS
O DNS devolve um endereço IPv6 para o site de vídeo e só um IPv4 para o site antigo.
Caminho IPv6
Saída direta
O pacote sai com o endereço do prefixo da casa, 2001:db8:1a:2b00::10, sem nenhuma tradução.
Caminho IPv4 · Casa
NAT do roteador
Para o site antigo, o roteador troca 192.168.0.10 pelo endereço da WAN, 100.64.1.20.
Caminho IPv4 · Provedor
Tradução no CGNAT
O CGNAT troca 100.64.1.20 por 203.0.113.10 e uma porta, e anota a troca.
Internet
Dois sites, duas origens
O site de vídeo vê o endereço IPv6 da casa; o site antigo vê o IP compartilhado.
Quando o destino tem os dois protocolos, os sistemas atuais costumam preferir o IPv6 e só recorrem ao IPv4 se o IPv6 demorar a responder.
Esse diagrama resume por que o IPv6 alivia o CGNAT sem eliminá-lo. Cada conexão que sai pelo caminho de cima é uma porta a menos ocupada no IP compartilhado, e uma linha a menos no registro de traduções.
O que costuma sair por cada caminho
A divisão depende dos destinos que os seus assinantes mais usam e dos equipamentos que eles têm em casa. A tabela mostra o padrão comum, que vale conferir com dados da sua própria borda.
| Tipo de tráfego | Caminho mais comum | Por quê |
|---|---|---|
| Vídeo e redes sociais dos grandes | IPv6 | As grandes plataformas de conteúdo já respondem em IPv6 |
| Sites menores, bancos e sistemas antigos | IPv4 pelo CGNAT | Muitos servidores ainda não têm endereço IPv6 |
| Jogos online | Misto | Depende do jogo e do console; muitos servidores ainda são só IPv4 |
| Aparelhos antigos da casa | IPv4 pelo CGNAT | Câmeras, TVs e roteadores velhos podem não falar IPv6 |
| Celular na rede Wi-Fi da casa | IPv6 quando o roteador entrega | Sistemas móveis atuais preferem IPv6 |
Se o IPv6 não tem CGNAT, por que o CGNAT continua?
O CGNAT continua porque parte da internet e parte dos aparelhos ainda só falam IPv4. Enquanto existir um destino sem IPv6 ou um roteador de cliente sem IPv6, alguém precisa traduzir.
A fatia de acessos em IPv6 cresce ano a ano, mas não chegou perto de 100% no Brasil, segundo as estatísticas públicas de adoção do Google [CONFIRMAR percentual atual na fonte]. Do lado dos servidores, muitos sites e sistemas corporativos seguem só com IPv4.
Por isso o desenho que funciona para o provedor regional é dual stack com CGNAT: o IPv6 leva o que pode, e o CGNAT fica com o resto. Para entender a tradução que sobra, veja como funciona o CGNAT.
O IPv6 chega mesmo à casa dos seus assinantes?
No projeto de IPv6 e CGNAT, um Especialista leva o IPv6 da borda ao roteador do cliente e mede quanto do tráfego saiu da tradução.
Quanto o IPv6 tira do CGNAT na prática
A resposta está na sua borda, não em tabela de fora. Compare o volume de tráfego IPv6 e IPv4 por algumas semanas, por fluxos exportados do roteador, antes e depois de levar o IPv6 aos assinantes.
O efeito aparece em três números: CPU do equipamento de CGNAT no pico, portas ocupadas por cliente e tamanho do registro diário. Se nenhum dos três caiu depois do IPv6, ele provavelmente não está chegando a quem deveria.
Quando o IPv4 viaja dentro do IPv6
Há técnicas em que a rede do provedor é só IPv6 e o IPv4 do assinante viaja dentro dela até um tradutor. Nelas, a tradução de IPv4 compartilhado continua existindo, só que muda de lugar.
Nessas técnicas, quem pergunta se o IPv6 tem CGNAT costuma ver um tradutor no meio da rede IPv6 e concluir que sim. O tradutor, porém, trata o tráfego IPv4; o IPv6 do assinante segue direto.
| Técnica | Onde fica a tradução IPv4 | Guarda estado no provedor |
|---|---|---|
| DS-Lite | No AFTR do provedor, depois de um túnel | Sim, como um CGNAT |
| NAT64 com DNS64 | No tradutor NAT64 do provedor | Sim |
| 464XLAT | Dupla: no roteador ou celular e no NAT64 | Sim, no tradutor do provedor |
| MAP-T | No roteador do cliente, com faixa de portas fixa | Não, a regra já define as portas |
Cada técnica tem um guia próprio: DS-Lite, NAT64, 464XLAT e MAP-T. Em todas, o IPv4 público continua dividido entre assinantes, e o registro de porta e horário continua valendo para esse tráfego.
Dual stack ou rede só IPv6, quando vale cada um?
O dual stack vale para quase todo provedor regional hoje, porque aproveita o concentrador e o CGNAT que já existem. A rede só IPv6 vale quando o IPv4 está tão escasso que nem o lado interno do CGNAT cabe com folga.
A troca de modelo mexe no roteador de todos os assinantes, por isso exige teste longo. O caminho de entrada costuma ser o dual stack, com a rede só IPv6 estudada depois.
Quando essa confusão vira problema na rede
A confusão vira problema quando o provedor conta com o IPv6 para resolver o CGNAT sem conferir se o IPv6 está de fato em uso. O CGNAT segue no limite, e a equipe acha que o gargalo está em outro lugar.
Sinais de que o IPv6 não está aliviando o seu CGNAT
- O IPv6 está ligado na borda, mas o concentrador não entrega prefixo aos clientes.
- Boa parte dos roteadores de cliente está com o IPv6 desligado de fábrica.
- A CPU do CGNAT no pico não mudou depois de ligar o IPv6.
- Ninguém mede o tráfego IPv6 separado do IPv4 na borda.
- O IP público dos jogadores continua sendo o único jeito de resolver o NAT estrito.
Um sinal já merece checagem; três ou mais indicam que o IPv6 existe no papel e não na casa do assinante.
Erros comuns ao contar com o IPv6
Os erros abaixo fazem o provedor tomar decisões de capacidade com base num alívio que não aconteceu. Todos se corrigem com medição e com o IPv6 levado até o fim.
- Reduzir o bloco IPv4 cedo demais: a proporção por IP aumenta e a falta de porta aparece no pico.
- Bloquear todo o ICMPv6: o IPv6 parece ligado, mas falha no meio do caminho e o aparelho volta ao IPv4.
- Esquecer o firewall do roteador: sem NAT, a proteção dos aparelhos da casa depende do filtro do roteador.
- Tratar o IPv6 como projeto de borda: sem a entrega do prefixo ao cliente, nenhum tráfego sai do CGNAT.
IPv6 tem CGNAT no registro de conexões?
Não no mesmo formato: no IPv6, o provedor guarda qual prefixo foi entregue a qual assinante e quando, sem porta. O registro do CGNAT continua valendo para o tráfego IPv4.
O Marco Civil da Internet pede a guarda dos registros de conexão pelo provedor de conexão [CONFIRMAR na norma], e no IPv6 isso fica mais simples: o prefixo identifica a casa. Um ofício com um endereço IPv6 e o horário leva ao prefixo delegado, e do prefixo ao login.
A Táquion Tech implanta IPv6 em dual stack com o registro dos prefixos delegados e o do CGNAT organizados lado a lado, para que um pedido com endereço IPv4 ou IPv6 chegue ao mesmo cadastro. A guarda de logs de CGNAT cobre a parte do IPv4.
Os guias de SLAAC e de CGNAT travando jogos completam o quadro: o primeiro mostra como os aparelhos montam o endereço IPv6, e o segundo, o que o IPv6 resolve para quem joga.
Perguntas frequentes
Posso desligar o CGNAT depois de ligar o IPv6?
Ainda não, porque parte dos sites e dos aparelhos da casa só fala IPv4. O que muda é o tamanho do CGNAT necessário, que cai conforme o tráfego migra para o IPv6.
Com IPv6 o console deixa de acusar NAT estrito?
Ajuda nos jogos e consoles que já usam IPv6, porque o console recebe endereço próprio. Nos jogos que ainda usam servidores só IPv4, o tipo de NAT continua dependendo do CGNAT e das portas de cada assinante.
Sem NAT, os aparelhos da casa ficam expostos na internet?
Ficam alcançáveis, mas não expostos, se o roteador do cliente tiver o firewall de IPv6 ativo. O padrão dos roteadores atuais é bloquear conexões que chegam de fora sem pedido de dentro, como o NAT fazia por tabela.
Por que um cliente com IPv6 ainda aparece atrás de CGNAT?
Porque o mesmo cliente usa os dois protocolos: quando acessa um destino só IPv4, sai pelo CGNAT. Sites que mostram o IP costumam exibir o endereço IPv4 compartilhado, mesmo com o IPv6 funcionando.
O provedor precisa guardar registro do IPv6?
Precisa guardar qual prefixo foi entregue a cada assinante e em que período [CONFIRMAR na norma]. Como o prefixo é exclusivo da casa, não é necessário registrar portas, ao contrário do que acontece no CGNAT.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 8200, Internet Protocol, Version 6 (IPv6) Specification: especificação do IPv6 e do endereçamento de 128 bits
- IPv6.br, NIC.br: material do NIC.br sobre implantação de IPv6 em provedores brasileiros
- Estatísticas de IPv6 do Google: percentual de acessos ao Google feitos em IPv6, por país
