Quantas portas por cliente no CGNAT: a conta para provedores

Quantas portas por cliente no CGNAT: de onde sai o número

O número sai do pico dos assinantes que mais abrem conexões, somado a uma folga para o crescimento do uso. Valores prontos, como mil ou dois mil, servem de ponto de partida, mas não substituem a medição na sua base.

A pergunta parece de matemática, mas é de comportamento. Duas bases do mesmo tamanho podem precisar de números bem diferentes, porque uma tem muitas casas com console, câmeras e TVs conectadas e a outra tem mais idosos que só usam o celular.

Por isso o dimensionamento de CGNAT começa medindo o uso real antes de definir qualquer proporção. O resto deste guia mostra como fazer essa medição e a conta que vem depois dela.

O que ocupa porta numa casa conectada

Cada conexão aberta por qualquer aparelho da casa prende uma porta no CGNAT enquanto existir. O consumo vem de muitas fontes ao mesmo tempo, e boa parte delas trabalha sem ninguém mexer no aparelho.

• Navegador: cada aba abre várias conexões, para o site e para anúncios, fontes e imagens.
• Aplicativos em segundo plano: mensagem, rede social e nuvem de fotos mantêm conexões vivas o dia inteiro.
• TV e streaming: cada aplicativo da TV abre conexões próprias, mesmo parado no menu.
• Câmeras e casa conectada: cada equipamento mantém sua conexão com a nuvem do fabricante.
• Consoles e jogos: usam UDP para a partida e conexões extras para voz, loja e atualizações.

TCP e UDP usam portas separadas

A porta 20000 em TCP e a porta 20000 em UDP são coisas diferentes, então cada IP público tem dois conjuntos de portas. Na prática, os equipamentos entregam ao cliente a mesma faixa nos dois protocolos, e a conta é feita pelo protocolo que ele mais consome.

Em casa comum, quem esgota primeiro costuma ser o TCP, por causa das muitas conexões de navegação. Em casa com jogos e chamadas de vídeo, o UDP pode chegar perto, e a medição precisa separar os dois.

Passo a passo para medir as portas em campo

Meça as conexões por endereço interno no equipamento que já faz NAT, a cada poucos minutos, por uma semana que inclua noites e fim de semana. O que interessa é a fila dos maiores consumidores, não o total.

1. Escolha a janela: colete por pelo menos sete dias, cobrindo o pico das noites de semana e o domingo.
2. Conte por cliente: registre quantas conexões cada endereço interno tem aberto em cada coleta.
3. Separe protocolo: anote TCP e UDP à parte, porque o limite do bloco vale para cada um.
4. Ordene: no horário de pico, ordene os clientes do maior para o menor consumo.
5. Ache o percentil: marque o valor abaixo do qual estão 95% dos clientes, e também o dos 1% mais pesados.
6. Investigue os extremos: um cliente muito acima de todos pode ser máquina infectada, e não uso normal.

# RouterOS: conexões abertas de um assinante (endereço interno)
/ip firewall connection print count-only where src-address~"^100.64.1.20:"
# RouterOS: total de conexões na tabela, para comparar com o número de clientes online
/ip firewall connection print count-only
# Linux com conntrack: os 20 endereços internos com mais conexões
conntrack -L 2>/dev/null | grep -oE 'src=100\.64\.[0-9.]+' \
  | sort | uniq -c | sort -rn | head -20

Contar conexões superestima um pouco as portas quando o equipamento reaproveita a mesma porta pública para vários destinos, o que deixa a conta do lado seguro. Se o seu CGNAT já usa blocos, o próprio registro de blocos entregues mostra quem pediu bloco extra e quando.

Média, percentil 95 e o cliente fora da curva

A média engana porque mistura a casa que só usa o celular com a casa de quatro gamers. Dimensionar pela média deixa a fatia de cima da base sem porta justamente no horário em que ela mais usa.

O percentil 95 é um ponto de partida razoável para o bloco, e o limite máximo por cliente cobre os 5% restantes. Quem passa até desse limite merece uma olhada antes de ganhar mais portas.

A conta: quantas portas por cliente e quantos clientes por IP

Pegue o percentil 95 medido, some a folga, arredonde para o bloco do equipamento e divida as portas úteis do IP por esse valor. O resultado é quantos clientes cabem em cada endereço, e a base online dividida por ele dá os IPs.

Os números do exemplo são hipotéticos e servem para mostrar a ordem das contas. Na sua rede, cada linha recebe o valor medido, e a folga pode ser maior se a base cresce rápido em casas com muitos aparelhos.

Quantos clientes por IP no CGNAT com blocos ou com faixa fixa?

Com faixa fixa, cada endereço interno tem portas reservadas mesmo desligado, então a conta usa a base inteira, e não só quem está online. A fórmula e o cuidado com os limites da faixa estão no guia de NAT determinístico.

Com blocos sob demanda, o cliente só ocupa portas quando usa, e a conta pode partir dos clientes online no pico. Isso coloca mais gente em cada IP, desde que exista limite de blocos por cliente; os detalhes estão na alocação de portas em bloco.

O que muda a conta sem mudar o número de clientes?

O modo de mapeamento, os tempos de expiração das conexões, a fatia de tráfego em IPv6 e os clientes com IP próprio mudam quantas portas cada assinante prende. Ajustar esses pontos às vezes resolve sem mexer na proporção.

O mapeamento que mantém a mesma porta para todos os destinos é o que tira os consoles do NAT estrito, como explica o guia sobre CGNAT travando jogos. Ele custa algumas portas a mais, e essa diferença precisa entrar na conta.

Já o IPv6 trabalha no sentido contrário: cada serviço grande que responde em IPv6 deixa de ocupar porta no CGNAT. Uma base com IPv6 bem entregue costuma permitir blocos menores ou mais clientes por IP com o mesmo pool.

Erros comuns ao definir as portas por cliente

Os erros mais comuns dão certo no primeiro mês e falham quando a base cresce ou muda de hábito. Quase todos vêm de não medir ou de medir só uma vez.

Quando a falta de porta já virou reclamação, o guia CGNAT: como resolver ajuda a separar esse problema de outros que parecem iguais para o assinante.

Quando refazer a conta das portas?

Refaça a conta sempre que a base mudar de tamanho ou de perfil, quando o IPv6 ganhar fatia e quando aparecer reclamação de falha só à noite. Uma conta de dois anos atrás descreve uma base que já não existe.

A Táquion Tech mede o consumo de portas da base no pico, define portas por cliente e clientes por IP com folga e deixa as premissas escritas para a próxima revisão. Se a conta mostrar que o equipamento não dá conta, o guia sobre qual equipamento usar para CGNAT ajuda a comparar as opções.

Perguntas frequentes

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech