Chegou um ofício e ninguém achou o assinante
Se a última consulta parou no endereço interno, falta um dos dois registros, ou os relógios não batem.
CGNAT · Provedores
Guarda de logs de CGNAT para provedores
Do IP público, da porta e do horário até o assinante em poucos minutos, com os registros guardados, copiados e protegidos de acesso indevido.
- IP, porta e horário em cada registro
- Mesma hora em toda a rede, por NTP
- Consulta provada com ofício simulado
Guarda de logs de CGNAT é o serviço que registra qual assinante usou cada IP público e cada faixa de portas, em cada momento, e mantém esses registros guardados pelo prazo legal. É para o provedor que divide IPv4 entre assinantes e precisa responder ofícios judiciais sem adivinhar. O resultado é uma consulta que vai do IP, da porta e do horário até o contrato, com o log guardado em dois lugares.
O que é guarda de logs de CGNAT
É montar a coleta, o armazenamento e a consulta dos registros que o CGNAT gera quando troca o endereço interno do assinante por um IP público e uma porta. Sem esse registro, um IP compartilhado não aponta ninguém.
O CGNAT coloca dezenas de assinantes atrás do mesmo IPv4 público, cada um numa faixa de portas. Quando chega um pedido com IP, porta e horário, o log do CGNAT diz qual endereço interno da faixa 100.64.0.0/10 usava aquela porta naquele instante.
O endereço interno ainda não é o assinante. Quem liga esse endereço a um contrato é o registro de sessão do PPPoE ou do IPoE, guardado pelo servidor RADIUS. A consulta só fecha quando os dois registros batem no mesmo segundo.
O tráfego em IPv6 não passa pelo CGNAT, e quanto mais tráfego vai por ele, menor fica o log. O prefixo entregue a cada casa entra no registro de sessão. A guarda tem quatro partes, e cada uma muda o volume e o esforço da consulta:
Log por conexão
Cada conexão aberta vira uma linha com origem, destino, porta e horário. É o formato mais detalhado e o mais pesado, que costuma lotar o disco e ocupar a CPU do equipamento de NAT.
Alocação por blocos de portas
O assinante recebe um bloco, por exemplo de 512 ou 1.024 portas, e o log registra só a entrega e a devolução do bloco. O volume cai a uma fração do log por conexão.
NAT determinístico
Cada endereço interno tem uma faixa fixa de portas num IP público, calculada por fórmula. O registro de sessão passa a bastar, desde que a fórmula e a data de cada mudança fiquem guardadas.
Hora certa e fuso
CGNAT, concentrador, RADIUS e servidor de logs precisam marcar a mesma hora. Poucos segundos de diferença já podem apontar quem pegou a porta logo depois.
Quando você precisa de guarda de logs de CGNAT
Seis sinais mostram que a guarda de logs não vai aguentar o próximo ofício. Se um deles aparece no seu provedor, vale revisar antes do pedido chegar.
Disco do servidor de logs enchendo
Log por conexão cresce rápido. Trocar para blocos de portas costuma resolver sem perder a identificação.
CPU do CGNAT subindo por causa do log
Equipamento que manda uma linha por conexão gasta processamento só com syslog, e o sintoma aparece no pico da noite.
Vai ligar ou trocar o CGNAT
A forma de registro se decide antes da primeira conexão compartilhada. Veja a implantação de CGNAT.
Logs só no próprio equipamento
Registro que fica na memória ou no disco do CGNAT some numa reinicialização ou numa troca de equipamento.
Quem montou os logs saiu
Ninguém sabe onde estão os arquivos nem como cruzar com o RADIUS. O procedimento precisa estar escrito.
Como funciona a guarda de logs de CGNAT
São cinco etapas, e a coleta antiga só é desligada depois que a nova guarda e responde consultas. O CGNAT muda apenas na quarta etapa.
Levantamento
Como o CGNAT aloca portas hoje, para onde manda o log, desde quando há registro e como o RADIUS guarda as sessões.
Prazo: [PREENCHER]
Desenho
Forma de registro, volume estimado para o período de guarda, local da cópia e quem pode consultar.
Prazo: [PREENCHER]
Aprovação
Você aprova o desenho e a janela. A coleta atual continua ligada até a nova provar que funciona.
Prazo: depende da sua agenda
Implantação
Servidor de coleta, NTP, cópia em segundo local, controle de acesso e a consulta que cruza CGNAT e RADIUS.
Prazo: [PREENCHER]
Teste de ofício
Uma conexão feita de propósito por um assinante de teste é achada a partir de IP, porta e horário, como a Justiça pede.
Prazo: [PREENCHER]
O que está incluído na guarda de logs de CGNAT
O serviço cobre do equipamento que gera o log até a consulta que responde o ofício. O que fica de fora tem página própria, e o escopo final vai escrito na proposta.
Incluído
- Escolha entre log por conexão, blocos de portas ou NAT determinístico
- Ajuste do CGNAT para gerar o formato escolhido
- NTP com a mesma fonte no CGNAT, nos concentradores, no RADIUS e no servidor de logs
- Servidor de coleta com espaço calculado para o período de guarda e folga
- Cópia dos registros em segundo local
- Acesso restrito, com registro de quem consultou e quando
- Consulta que cruza IP, porta e horário com a sessão do assinante
- Alerta quando a coleta para
- Procedimento escrito para responder ofícios
Não incluído
- Compra de servidor ou disco (a Táquion Tech não vende equipamento)
- Parecer jurídico sobre cada ofício, que fica com o seu advogado
- Guarda completa dos registros de conexão do RADIUS, feita na guarda de registros de conexão
- Troca do equipamento de CGNAT, avaliada no dimensionamento de CGNAT
- Adequação da rede inteira à LGPD, que é a adequação de infraestrutura à LGPD
Quanto custa a guarda de logs de CGNAT
O preço depende principalmente do número de CGNATs e da forma de registro que já existe. O valor exato sai por escrito, depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de CGNATs | Cada equipamento tem coleta e formato de log próprios | Dois CGNATs em POPs diferentes mandando para o mesmo servidor |
| Forma de registro | Trocar log por conexão por blocos pede ajuste e teste no CGNAT | Saída de syslog por conexão para blocos de 1.024 portas |
| Tamanho da base | Define o volume guardado e o espaço em disco | Base de 10 mil assinantes com o período legal de guarda |
| Logs antigos | Importar e organizar registros já guardados leva tempo | Arquivos soltos de meses anteriores em formatos diferentes |
| Onde guardar | Servidor próprio, data center ou nuvem mudam cópia e controle de acesso | Cópia no POP e em data center fora da cidade |
| Sessões do RADIUS | Contabilização em banco organizado acelera a consulta; texto solto pede tratamento | Contabilização do FreeRADIUS guardada em banco de dados |
Faixa de preço para um provedor com um CGNAT: [PREENCHER faixa aprovada pela Táquion Tech]. Se o ofício já chegou e a consulta não fecha, o caminho é o suporte N3 para CGNAT, antes da proposta.
O que conferir antes de contratar guarda de logs de CGNAT
Confira os erros que só aparecem no dia do ofício, a forma de registro e as regras que a guarda precisa seguir. Use esta seção para avaliar qualquer empresa de guarda de logs de CGNAT, inclusive a Táquion Tech.
Erros comuns ao montar a guarda
Cinco falhas que deixam o ofício sem resposta. Pergunte ao fornecedor como ele evita cada uma.
Guardar só o IP, sem a porta
Com IP compartilhado, o mesmo endereço aparece para dezenas de assinantes no mesmo minuto. Sem a porta de origem, a resposta ao ofício vira uma lista de suspeitos.
Relógios fora de sincronia
Se o CGNAT está 40 segundos adiantado em relação ao RADIUS, a consulta pode apontar quem pegou a porta depois. Todos os equipamentos precisam da mesma fonte de NTP.
Ignorar o fuso horário
Ofícios chegam em horário de Brasília, em UTC ou com fuso de outro país, quando a origem é uma empresa de fora. O registro guarda o fuso, e quem consulta converte antes de buscar.
Uma cópia só
Disco queimado ou servidor invadido apaga meses de registros. A segunda cópia fica em outro local, com senha e acesso separados.
Guardar o que não deve
Registrar os sites que o assinante acessou vai além do log de conexão e pode contrariar o que a lei permite ao provedor de conexão [CONFIRMAR na norma].
Log por conexão, blocos ou determinístico
É a escolha que define o disco e o esforço da consulta. Compare as três antes de mexer no CGNAT.
| Forma | Volume de log | Como a consulta funciona |
|---|---|---|
| Por conexão | Muito alto | Direta, linha a linha |
| Blocos de portas | Baixo | Bloco do horário mais a sessão do RADIUS |
| Determinístico | Quase nenhum | Fórmula mais a sessão do RADIUS |
Blocos de portas
Quando escolher
Base que cresce e equipamento que aceita alocação por blocos. É o meio-termo mais comum em provedor regional.
Cuidado
Bloco pequeno esgota em quem abre muitas conexões, e o assinante sente lentidão. O tamanho sai do uso medido no pico.
NAT determinístico
Quando escolher
Quando o disco ou o envio de log é o gargalo e os pools mudam pouco.
Cuidado
Cada mudança de pool ou de fórmula precisa ficar registrada com data. Sem isso, consultas antigas apontam o assinante errado.
Normas e boas práticas
Referências que um projeto de guarda de logs deve citar. Peça ao fornecedor que diga como atende cada uma.
Marco Civil da Internet, artigo 13
Obriga o provedor de conexão a guardar os registros de conexão por um ano, em ambiente controlado e sob sigilo [CONFIRMAR na norma].
Marco Civil da Internet, artigo 14
Proíbe o provedor de conexão de guardar os registros de acesso a aplicações, como os sites visitados [CONFIRMAR na norma].
RFC 6302 e RFC 6888
A RFC 6302 recomenda registrar a porta de origem nos serviços da internet; a RFC 6888 lista requisitos de CGNAT, entre eles o registro das traduções [CONFIRMAR na norma].
RFC 7422
Descreve o NAT determinístico, que reduz o log ao calcular a faixa de portas de cada endereço interno [CONFIRMAR na norma].
Checklist antes de contratar
Com estes dados em mãos, a proposta sai mais rápida e mais precisa.
Equipamento de CGNAT
Marca, modelo e versão, e se ele aceita blocos de portas ou NAT determinístico.
Onde o log está hoje
Servidor, formato e a data do registro mais antigo que você ainda tem.
RADIUS e sistema de gestão
Qual RADIUS, onde ficam as sessões e qual sistema guarda os contratos.
Último ofício
Se houve, como foi respondido e quanto tempo levou. É o teste mais honesto do que existe hoje.
Por que escolher a Táquion Tech para guardar os logs de CGNAT
Porque a consulta é provada antes da entrega e o procedimento fica com a sua equipe. Seis compromissos que valem para toda implantação.
Teste de ofício antes da entrega
A consulta é provada com uma conexão real de assinante de teste, do IP e da porta até o contrato.
Relatório do teste entregue com o projeto
Especialista em CGNAT do começo ao fim
Quem desenha a forma de registro é quem ajusta o CGNAT e testa a consulta.
[PREENCHER: anos de experiência com CGNAT da equipe]
Não vendemos servidor nem disco
O espaço indicado sai da conta de volume da sua base, não de comissão de fabricante.
Nenhuma marca indicada por comissão
Procedimento que a equipe usa sozinha
Passo a passo escrito para achar um assinante, com exemplos de ofício em fusos diferentes.
Entregue no fim de toda implantação
Cada consulta registrada
Nome, data e motivo de cada busca ficam guardados, o que protege o provedor se o sigilo for questionado.
Controle de acesso incluído no escopo
Remoto para todo o Brasil
Coleta, servidor e consulta são montados por acesso remoto seguro, sem deslocamento para pagar.
[PREENCHER: estados atendidos]
Guarda de logs de CGNAT por equipamento
A lógica da guarda é a mesma em qualquer CGNAT; o que muda é a forma de alocar portas e de exportar o log. Cada equipamento tem a sua página com os detalhes.
MikroTik
No RouterOS, o caminho mais leve é o NAT determinístico com regras por faixa de portas, que dispensa log por conexão.
Hillstone
Alocação por blocos de portas e envio de log por syslog, com o tamanho do bloco ajustado à base [CONFIRMAR recursos da versão].
A10 Networks
Thunder CGN com blocos de portas, NAT determinístico e exportação de log por syslog [CONFIRMAR recursos da versão].
Onde a Táquion Tech monta a guarda de logs
A guarda de logs de CGNAT é montada à distância para provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também instala o servidor de coleta no POP.
Remoto para todo o Brasil
Acesso seguro ao CGNAT, ao RADIUS e ao servidor de coleta, com o teste de ofício feito junto com a sua equipe, de qualquer estado.
Presencial no litoral de Santa Catarina
Para montar o servidor de logs no rack, ligar discos ou acompanhar a janela no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre guarda de logs de CGNAT
As perguntas que donos e técnicos de provedor fazem antes de pedir a proposta. Se a sua não estiver aqui, pergunte no WhatsApp.
Por quanto tempo o provedor precisa guardar os logs de CGNAT?
O Marco Civil da Internet fala em um ano para os registros de conexão, sob sigilo e em ambiente controlado [CONFIRMAR na norma]. Um pedido judicial pode exigir guarda mais longa de registros específicos.
O log de CGNAT precisa ter a porta de origem?
Na prática, sim. Com IP compartilhado, só a porta separa um assinante do outro no mesmo minuto [CONFIRMAR na norma]. Sem ela, a resposta ao ofício aponta um grupo, não uma pessoa.
Qual o preço da guarda de logs de CGNAT?
Depende do número de CGNATs, da forma de registro atual e de onde os logs vão ficar. A faixa para um CGNAT é [PREENCHER], e o valor exato sai depois do levantamento.
Quanto espaço em disco o log de CGNAT ocupa?
Depende muito da forma de registro. Log por conexão pode chegar a terabytes no período de guarda; com blocos de portas ou NAT determinístico, o volume cai a uma fração disso [CONFIRMAR volume medido na sua base].
Como achar o assinante a partir de IP, porta e horário?
O log do CGNAT diz qual endereço interno usava aquele IP e porta no horário. A sessão guardada pelo RADIUS diz qual assinante tinha aquele endereço, e o cruzamento dos dois aponta o contrato.
Vocês fazem a guarda de logs de CGNAT para provedor de qualquer estado?
Sim. Coleta, servidor e consulta são montados por acesso remoto. A visita ao POP fica para o litoral de Santa Catarina, quando o servidor precisa ser instalado no rack.
Meu CGNAT é MikroTik. Dá para ter um log leve?
Dá. No RouterOS, o NAT determinístico com faixas fixas de portas reduz muito o log. A configuração de CGNAT em MikroTik detalha as regras.
Posso guardar os logs de CGNAT na nuvem?
Pode, desde que com acesso restrito, criptografia e cópia em outro local. O que pesa é manter o sigilo e saber quem consultou cada registro.
Com IPv6 ainda preciso guardar log de CGNAT?
Sim, enquanto houver tráfego IPv4 compartilhado. O IPv6 diminui esse tráfego e o tamanho do log; veja a implantação de IPv6.
Quanto tempo leva para montar a guarda de logs?
Depende do número de CGNATs e de haver ou não ajuste na forma de registro. O prazo típico é [PREENCHER], e o do seu caso vai escrito na proposta.
Serviços relacionados à guarda de logs de CGNAT
Três serviços que completam a identificação do assinante. Cada um cuida de uma parte do caminho entre o IP e o contrato.
-
Guarda de registros de conexão
Registros de conexão do RADIUS guardados com sigilo, como pede o Marco Civil [CONFIRMAR na norma].
Ver a guarda de registros de conexão -
Implantação de servidor RADIUS
Servidor que autentica o assinante e guarda as sessões que ligam o endereço interno ao contrato.
Ver a implantação de servidor RADIUS -
Implantação de CGNAT
CGNAT em produção, com portas por assinante e forma de registro definidas desde o início.
Ver a implantação de CGNAT
Leia antes de contratar
Três guias técnicos sobre as formas de registrar o CGNAT.
- Configuração de port block allocation: guia prático para provedores
Como entregar portas em blocos e gerar uma linha de log por bloco.
- Configuração de NAT determinístico: guia prático para provedores
Como calcular a faixa de portas de cada assinante e dispensar o log por conexão.
- Implantação de MAP-T: guia prático para provedores
Quando a tradução sem estado muda o que precisa ser registrado.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de guarda de logs de CGNAT
Diga qual equipamento faz o CGNAT e onde o log fica hoje. Um Especialista responde com escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
