Qual equipamento usar para CGNAT: critérios para provedores
Qual equipamento usar para CGNAT depende de quatro números da sua base no pico: sessões simultâneas, novas conexões por segundo, pacotes por segundo e volume de registro. Com eles em mãos, a escolha fica entre o próprio concentrador, um roteador dedicado, um appliance de CGNAT, uma placa na borda ou um servidor com software de NAT.
Resumo
- A marca vem por último; antes vêm as sessões simultâneas e as conexões novas por segundo que a base gera.
- O concentrador fazendo NAT atende bases menores, mas junta duas funções críticas na mesma caixa.
- Appliance dedicado e placa na borda vencem quando o registro e a escala pesam mais que o custo inicial.
- Sem alocação de portas em bloco ou determinística e sem exportação de registro, nenhum equipamento serve.
Qual equipamento usar para CGNAT depende de quatro números
Os quatro números que decidem o equipamento são sessões simultâneas, novas conexões por segundo, pacotes por segundo e linhas de registro por dia, todos medidos no pico. Banda em gigabits sozinha não diz se o equipamento aguenta.
Cada assinante mantém dezenas ou centenas de conexões abertas ao mesmo tempo, e cada uma ocupa uma entrada na tabela do CGNAT. Somadas, elas dão as sessões simultâneas, que é o primeiro limite de memória do equipamento.
O segundo número é o ritmo de criação de conexões. Às oito da noite, quando milhares de aplicativos abrem conexões curtas, um equipamento com folga de banda pode travar por não conseguir montar as traduções na velocidade pedida.
Pacotes por segundo pesam mais que megabits, porque o trabalho do NAT é por pacote. O dimensionamento de CGNAT mede esses números na sua rede e os transforma numa lista de plataformas que atendem com folga.
Por que a ficha do fabricante engana
Os números de catálogo costumam vir de testes com pacotes grandes, poucas regras e o registro desligado. Na rede do provedor, com pacotes pequenos, milhares de regras e cada bloco de portas virando uma linha de registro, a capacidade real cai.
Por isso, peça ao fabricante os números com o registro ligado e na forma de alocação que você vai usar [CONFIRMAR com o fabricante]. Sem isso, a comparação entre duas fichas compara condições diferentes.
Como medir os quatro números com o equipamento atual
O equipamento que já faz NAT hoje, mesmo sobrecarregado, é a fonte de dados mais confiável para escolher o próximo. A medição usa contadores que quase todo roteador oferece, sem mexer na configuração.
- Sessões: anote o total de entradas na tabela de conexões a cada cinco minutos, por uma semana inteira, com o número de assinantes online.
- Conexões novas: leia o contador de conexões criadas e calcule a diferença por segundo no horário de maior uso.
- Pacotes: colete pacotes por segundo nas interfaces de entrada e saída do NAT, junto com a banda.
- Registro: conte as linhas que o servidor de registro recebe por hora no pico e projete para um dia.
- Folga: divida cada número pelo de assinantes online e multiplique pela base esperada para os próximos anos.
Feita a conta por assinante, os números deixam de depender do tamanho de hoje. É com eles que se compara uma ficha técnica a outra, e não com a quantidade de clientes que o vendedor diz que a caixa atende.
As cinco famílias de equipamento para CGNAT
Os equipamentos de CGNAT se dividem em cinco famílias: concentrador fazendo NAT, roteador dedicado, appliance de CGNAT, placa de serviço no roteador de borda e servidor com software de NAT. Cada uma troca custo, escala e simplicidade de um jeito.
| Família | Como funciona | Ponto forte | Limite |
|---|---|---|---|
| Concentrador fazendo NAT | O mesmo equipamento autentica o assinante e traduz | Nada a comprar além do que já existe | Junta duas funções críticas e divide a CPU |
| Roteador dedicado | Uma caixa só para o NAT, entre concentrador e borda | Isola a falha e é conhecido pela equipe | Escala por caixa, com regras geradas por script |
| Appliance de CGNAT | Equipamento feito para NAT de operadora | Alocação de portas, registro e redundância prontos | Custo inicial e licença por capacidade |
| Placa na borda | Módulo de serviço dentro do roteador de borda | Escala alta e um equipamento a menos | Depende de roteador de borda compatível |
| Servidor com software | Software de NAT em servidor comum | Escala trocando o servidor, sem caixa fechada | Exige equipe que domine Linux e ajuste de desempenho |
Na família do roteador dedicado, a escolha mais comum entre provedores regionais é o MikroTik, cuja montagem está no guia de como configurar CGNAT no MikroTik. Entre os appliances, o CGNAT em A10 Networks é um exemplo de caixa feita só para isso.
Firewalls de próxima geração, como os da Hillstone, também fazem CGNAT, e a configuração de CGNAT em Hillstone cobre esse caso. Eles entram na família do appliance quando a função principal da caixa é o NAT da base.
Como escolher qual equipamento usar para CGNAT: tabela de decisão
Cada família vence num cenário diferente, e a tabela abaixo liga a situação do provedor à opção que costuma atender com menos risco. Use-a para reduzir a lista antes de pedir cotação.
| Situação do provedor | Opção que vence | Por quê |
|---|---|---|
| Base pequena, um POP, concentrador com folga de CPU | Concentrador fazendo NAT | Não há segundo equipamento para comprar nem para manter |
| Base em crescimento, concentrador perto do limite | Roteador dedicado | Tira o NAT do concentrador e isola as falhas |
| Vários POPs, registro pesado e ofícios frequentes | Appliance de CGNAT | Alocação de portas e exportação de registro já vêm prontas |
| Borda com roteador de grande porte e espaço livre | Placa na borda | Aproveita o chassi e a redundância que já existem |
| Equipe forte em Linux e base grande | Servidor com software | Escala por servidor e evita licença por capacidade |
| Precisa de redundância com sessões mantidas | Appliance ou placa na borda | Sincronização de sessões costuma ser recurso nativo |
A tabela indica o ponto de partida, não a compra. Dois provedores com a mesma situação podem chegar a equipamentos diferentes por causa do orçamento, do estoque de IPv4 ou do que a equipe já sabe operar.
Em dúvida entre duas plataformas de CGNAT?
No dimensionamento de CGNAT, um Especialista mede sessões, conexões e pacotes da sua base no pico e compara as plataformas que atendem os números, com as premissas por escrito.
Concentrador fazendo NAT ou caixa separada?
O concentrador fazendo NAT funciona enquanto a CPU tem folga no pico e a base cabe numa caixa. O problema aparece quando uma das duas funções pesa: um ataque ou um pico de conexões no NAT derruba também a autenticação dos assinantes.
Separar as funções custa um equipamento a mais, mas deixa cada caixa fazer uma coisa só. O guia sobre concentrador PPPoE com CPU em 100% mostra como o NAT costuma aparecer entre as causas.
Recursos obrigatórios em qualquer equipamento de CGNAT
Qualquer equipamento escolhido precisa dividir portas em blocos ou por fórmula, exportar o registro para fora, manter a mesma porta pública por conexão interna e limitar portas por assinante. Sem esses recursos, a capacidade não adianta.
Confira na ficha e no teste antes de comprar
- Alocação de portas em bloco ou determinística, além da dinâmica.
- Exportação do registro por syslog ou IPFIX para um servidor externo.
- Mapeamento que mantém a mesma porta pública para todos os destinos.
- Retorno de pacotes entre assinantes do mesmo CGNAT, o hairpinning.
- Limite de portas e de sessões por assinante.
- Contadores de portas em uso e CPU legíveis pelo monitoramento.
- Sincronização de sessões ou outra forma de redundância documentada.
Os quatro primeiros itens são eliminatórios. Os três últimos podem ser contornados, mas cada falta vira trabalho manual ou risco na operação.
O mapeamento que mantém a porta é o que deixa os consoles fora do NAT estrito, assunto do guia sobre CGNAT travando jogos. A exportação por IPFIX, quando suportada, segue a lógica explicada na implantação de IPFIX, com campos próprios para eventos de NAT.
Recursos de transição para IPv6
Se o plano inclui rede só IPv6 no futuro, confira se o equipamento faz NAT64 ou o papel central do DS-Lite. Comprar agora uma caixa que já suporta esses modos evita uma troca no meio da migração.
O guia de implantação de NAT64 mostra o que esse modo exige do equipamento e da rede de DNS.
Na prática: três provedores, três escolhas
Três perfis comuns mostram como os mesmos critérios levam a equipamentos diferentes. Os números de cada caso saem da medição, e não do tamanho da cidade.
- Provedor de um POP só: o concentrador tem folga de CPU no pico, então o NAT fica nele, com blocos de portas e registro externo, e o plano é separar quando a folga acabar.
- Provedor com três POPs: cada concentrador já trabalha perto do limite, então entra um roteador dedicado por POP, em par, com pools públicos separados.
- Provedor com ofícios toda semana: a consulta manual virou gargalo, então um appliance com registro por bloco e exportação pronta compensa o custo.
Em comum, os três começaram pela medição e não pela marca. Quem compra antes de medir costuma descobrir o limite no primeiro verão com a base cheia.
Erros comuns ao escolher o equipamento de CGNAT
Os erros mais comuns vêm de escolher pela banda, pelo preço da caixa ou pelo que o vizinho usa. Todos aparecem depois da compra, quando trocar custa mais.
Evite
- Escolher pela banda em gigabits. O limite real costuma ser sessões ou conexões novas por segundo.
- Ignorar a licença. Alguns equipamentos cobram por sessão ou por banda e travam ao passar do contratado.
- Comprar sem testar o registro. O formato pode não caber no servidor de consulta que você usa.
- Dimensionar para a base de hoje. O equipamento envelhece antes do fim do primeiro ano.
- Esquecer o segundo equipamento. Sem par, a escolha vira um ponto único de falha.
A Táquion Tech não vende equipamento: mede a base, compara as plataformas pelos números e indica as que atendem, com as premissas por escrito. O custo de cada escolha, do equipamento ao registro, está separado no guia de quanto custa a implantação de CGNAT.
Perguntas frequentes
MikroTik serve para CGNAT de provedor?
Serve para muitos provedores regionais, como concentrador fazendo NAT ou como roteador dedicado. O limite aparece quando a CPU passa do confortável no pico ou quando o número de regras torna as mudanças arriscadas.
Um firewall comum pode fazer o CGNAT da base?
Pode, se suportar alocação de portas em bloco, exportação de registro e o volume de sessões da base. Firewall de escritório costuma falhar no número de sessões e no registro por porta.
Todo equipamento de CGNAT exige licença?
Não. Roteadores como o MikroTik incluem o NAT no sistema, enquanto appliances e placas de serviço costumam cobrar licença por capacidade, sessão ou recurso [CONFIRMAR com o fabricante].
O mesmo equipamento pode fazer NAT64 e CGNAT?
Muitos appliances e placas de serviço fazem os dois, o que facilita a migração para IPv6. Confira na ficha e teste os dois modos juntos, porque o consumo de recursos soma.
Vale comprar equipamento usado para CGNAT?
Pode valer para um roteador dedicado de reserva, desde que ainda receba atualização de software. Para o equipamento principal, a falta de suporte do fabricante transforma cada defeito numa espera longa.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 6888, Common Requirements for Carrier-Grade NATs (CGNs): recursos exigidos de um CGNAT, como limite de portas por assinante, hairpinning e registro
- RFC 8158, IPFIX Information Elements for Logging NAT Events: campos de IPFIX para exportar eventos de NAT, como criação de sessão e entrega de bloco de portas
- RFC 4787, NAT Behavioral Requirements for Unicast UDP: comportamento de mapeamento e filtragem que define se o NAT atrapalha jogos e chamadas
