Como abrir porta roteador

Tabela de acesso ao painel por marca e operadora

A etiqueta colada na base ou lateral do equipamento e a fonte mais confiavel de credenciais. As informacoes abaixo sao os valores de fabrica documentados pelos proprios fabricantes; a operadora ou o tecnico de instalacao frequentemente personalizam a senha.

Passo a passo: como abrir porta no roteador

Antes de comecar: atribuir IP fixo local

Port forwarding aponta para um IP local especifico. Se o IP do computador ou servidor muda (DHCP dinamico), a regra para de funcionar. Reserve o IP antes de criar qualquer regra.

1. Acesse o painel admin do roteador (enderecos na tabela acima).
2. Localize "DHCP" ou "LAN" e procure a opcao de "Reserva de IP" ou "Static DHCP".
3. Associe o MAC address do dispositivo a um IP fixo (ex: 192.168.0.100). Salve.

Configurar a regra de port forwarding

1. Descubra o gateway. No Windows, abra o Prompt de Comando (Win + R > cmd) e execute ipconfig. Anote o valor em "Gateway Padrao". No Linux/macOS, execute ip route | grep default no Terminal.
2. Acesse o painel admin. Abra o navegador e digite o IP do gateway na barra de endereco. Nao use www nem adicione https na frente -- apenas o numero.
3. Faca login. Use as credenciais da etiqueta do equipamento. Se a senha foi alterada e nao esta registrada, veja o artigo esqueci senha roteador.
4. Localize o menu de Port Forwarding. Os nomes variam: "Virtual Server", "Port Forwarding", "NAT", "Mapeamento de Portas". Consulte a coluna "Caminho" na tabela acima.
5. Crie a regra. Preencha: nome livre (ex: "Minecraft"), protocolo (TCP, UDP ou ambos), porta externa (a que chega da internet), porta interna (a que o servico escuta localmente) e IP local do dispositivo.
6. Salve e teste. Use canyouseeme.org para confirmar se a porta esta acessivel externamente. Se aparecer "Connection timed out" mesmo com a regra criada, leia a secao sobre CGNAT abaixo.

Caminho do menu por marca: detalhes especificos

Intelbras Twibi e linha ACtion RG

No painel Intelbras, o port forwarding fica em Avancado > Virtual Server. Campos: "Porta Inicial", "Porta Final" (deixe igual para porta unica), "Protocolo", "IP Destino". A Intelbras fabrica seus equipamentos em Santa Catarina e e lider de mercado no Brasil em roteadores Wi-Fi residenciais.

TP-Link Archer e linha Deco

Nos modelos Archer, o caminho e Avancado > NAT > Servidores Virtuais. Nos modelos Deco (mesh), o port forwarding fica no aplicativo TP-Link Tether, em IPv4 > Port Forwarding -- nao ha interface web nos Deco. A TP-Link exige que o dispositivo de destino tenha IP reservado no DHCP antes de aceitar salvar a regra.

Huawei HG8245 e HG8546 (equipamentos Vivo)

O usuario telecomadmin com senha admintelecom e o login de nivel operadora documentado nos manuais publicos da Huawei. Em alguns modelos fornecidos pela Vivo, esse login da acesso a menus adicionais que o usuario admin comum nao enxerga. O port forwarding fica em Forward Rules > Port Mapping Config; clique em "New" para criar entrada.

ZTE F670L e F680 (equipamentos Claro e Vivo)

Acesse em Application > Port Forwarding. O ZTE F670L e o equipamento padrao distribuido pela Claro na maioria das instalacoes FTTH desde 2022. Cada unidade tem senha unica impressa na etiqueta -- nao ha senha universal de fabrica nesse modelo.

CGNAT: por que a porta nao abre mesmo configurada certo

Voce criou a regra, confirmou o IP local, reiniciou o roteador. O teste em canyouseeme.org continua retornando "Connection timed out". Na maioria dos casos, a causa nao e erro de configuracao: e CGNAT.

CGNAT (Carrier-Grade NAT) e definido pela RFC 6598 com a faixa de enderecos 100.64.0.0/10. Nesse modelo, a operadora coloca dezenas ou centenas de assinantes atras de um unico IP publico. O roteador domestico recebe um IP da faixa 100.64.x.x como endereco WAN -- e esse IP e privado do ponto de vista da internet. Qualquer port forwarding configurado no roteador funciona dentro da rede da operadora, mas nao chega ate conexoes externas vindas da internet.

Para verificar se voce esta em CGNAT: acesse Meu IP neste site e compare o endereco exibido com o IP WAN que aparece no painel do roteador. Se forem diferentes, ou se o IP WAN comecar com 100., voce esta em CGNAT. Detalhes sobre o funcionamento em O que e CGNAT.

Alternativas quando o CGNAT bloqueia o port forwarding

IPv6 com firewall aberto (gratuito, onde disponivel)

Se a operadora distribui IPv6, cada dispositivo da sua rede recebe um endereco publico real sem NAT. Port forwarding em IPv6 nao e feito no menu "NAT" -- e no firewall IPv6 do roteador. Basta liberar a porta no firewall IPv6 e usar o endereco IPv6 do dispositivo para acesso externo. Nao ha custo adicional. Limitacao: o cliente que acessa tambem precisa ter IPv6 funcional.

Cloudflare Tunnel (gratuito para HTTP e HTTPS)

Instale o daemon cloudflared na maquina que vai receber as conexoes. Ele abre um tunel criptografado de saida para os servidores da Cloudflare, que fazem proxy reverso para o seu servico. Funciona mesmo atras de CGNAT duplo. Ideal para sites, APIs, paineis. Nao funciona para UDP ou protocolos de jogos que exigem conexao direta.

Tunel reverso via VPS

Alugue um servidor VPS com IP fixo dedicado -- planos partem de US$ 4 a 6/mes (DigitalOcean, Vultr, Hostinger). Configure SSH com port forwarding reverso (ssh -R 80:localhost:80 usuario@ip-do-vps) ou WireGuard para tunel permanente. O VPS recebe a conexao externa e redireciona para sua maquina local via tunel criptografado. Funciona para qualquer protocolo.

IP fixo da operadora

Remove o CGNAT e garante endereco IPv4 publico dedicado. A Vivo oferece em planos Vivo Empresas. A Claro em planos Claro Business / NET Empresas. Custo tipico: R$ 50 a R$ 150/mes dependendo do plano e regiao. Solucao definitiva para quem hospeda servicos regularmente em casa.

Portas mais usadas e seus servicos

Firewall do computador: a segunda barreira

A porta pode estar aberta no roteador e ainda aparecer fechada nos testes externos. O Firewall do Windows (ou ufw no Linux) bloqueia conexoes de entrada por padrao para qualquer porta nao explicitamente liberada.

No Windows: va em Painel de Controle > Sistema e Seguranca > Windows Defender Firewall > Configuracoes Avancadas. Crie uma nova regra de entrada para a porta desejada. No Ubuntu/Debian com ufw: execute sudo ufw allow PORTA/tcp no terminal. Essa etapa e necessaria em qualquer sistema operacional que use firewall local ativo.

Aplicativos como servidores web (Apache, Nginx), servidores de jogos e ferramentas de acesso remoto costumam criar suas proprias regras de firewall durante a instalacao. Se o aplicativo criou a regra, voce nao precisa criar manualmente.