Como abrir porta roteador

Como funciona NAT e port forwarding

Seu roteador opera como intermediário entre a rede local (dispositivos de casa) e a internet. Ele faz Network Address Translation (NAT): traduz o IP privado de cada dispositivo (192.168.x.x) para o IP público da conexão ao sair, e na volta entrega o pacote ao dispositivo correto.

O problema: conexões que chegam de fora sem um pedido anterior ficam sem destino. O roteador não sabe para qual dispositivo interno encaminhar. Port forwarding resolve isso criando uma regra explicita: "conexões externas na porta 25565 vão para o IP 192.168.0.100".

Roteadores brasileiros comuns: IP padrão, login e senha

A etiqueta colada na base ou lateral do equipamento e a fonte mais confiável de credenciais. Os valores abaixo são os de fábrica documentados pelos próprios fabricantes; a operadora ou o técnico de instalação frequentemente personalizam a senha.

Passo a passo: como abrir porta no roteador

Antes de começar: atribuir IP fixo local

Port forwarding aponta para um IP local específico. Se o IP do computador ou servidor muda (DHCP dinâmico), a regra para de funcionar. Reserve o IP antes de criar qualquer regra.

1. Acesse o painel admin do roteador (endereços na tabela acima).
2. Localize "DHCP" ou "LAN" e procure a opção de "Reserva de IP" ou "Static DHCP".
3. Associe o MAC address do dispositivo a um IP fixo (ex: 192.168.0.100). Salve antes de prosseguir.

Configurar a regra de port forwarding

1. Descubra o gateway. No Windows: Win + R > cmd > execute ipconfig e anote o "Gateway Padrão". No Linux/macOS: ip route | grep default no terminal.
2. Acesse o painel admin. Abra o navegador e digite o IP do gateway na barra de endereço. Não use www nem adicione https:// na frente.
3. Faca login. Use as credenciais da etiqueta do equipamento. Se a senha foi alterada e não esta registrada, veja o artigo esqueci senha roteador.
4. Localize o menu de Port Forwarding. Os nomes variam: "Virtual Server", "Port Forwarding", "NAT", "Mapeamento de Portas". Consulte a coluna "Caminho" na tabela acima.
5. Crie a regra. Preencha: nome livre (ex: "Minecraft"), protocolo (TCP, UDP ou ambos), porta externa (a que chega da internet), porta interna (a que o serviço escuta localmente) e IP local do dispositivo.
6. Salve e reinicie o roteador. Alguns firmwares ZTE e Sagemcom só aplicam regras NAT após reinicializacao completa.
7. Teste. Use canyouseeme.org para confirmar se a porta esta acessível externamente. "Connection timed out" com a regra criada geralmente indica CGNAT -- leia a secao abaixo.

Caminhos específicos por marca

Intelbras Twibi e linha ACtion RG

No painel Intelbras, o port forwarding fica em Avancado > Virtual Server. Campos: "Porta Inicial", "Porta Final" (deixe igual para porta única), "Protocolo", "IP Destino". A Intelbras fábrica seus equipamentos em Santa Catarina e lidera o mercado brasileiro em roteadores Wi-Fi residenciais de revenda.

TP-Link Archer e linha Deco

Nos modelos Archer, o caminho e Avancado > NAT > Servidores Virtuais. Nos modelos Deco (mesh), o port forwarding fica no aplicativo TP-Link Tether, em IPv4 > Port Forwarding -- não ha interface web nos Deco. A TP-Link exige que o dispositivo de destino tenha IP reservado no DHCP antes de aceitar salvar a regra.

Huawei HG8245 e HG8546 (equipamentos Vivo)

O usuário telecomadmin com senha admintelecom e o login de nível operadora documentado nos manuais públicos da Huawei. Em alguns modelos fornecidos pela Vivo, esse login da acesso a menus adicionais que o usuário admin comum não enxerga. O port forwarding fica em Forward Rules > Port Mapping Config; clique em "New" para criar entrada.

ZTE F670L e F680 (equipamentos Claro e Vivo)

Acesse em Application > Port Forwarding. O ZTE F670L e o equipamento padrão distribuido pela Claro na maioria das instalações FTTH desde 2022. Cada unidade tem senha única impressa na etiqueta -- não ha senha universal de fábrica nesse modelo.

CGNAT: por que a porta não abre mesmo configurada certo

Você criou a regra, confirmou o IP local, reiniciou o roteador. O teste em canyouseeme.org continua retornando "Connection timed out". Na maioria dos casos, a causa não e erro de configuração: e CGNAT.

CGNAT (Carrier-Grade NAT) e definido pela RFC 6598 com a faixa de endereços 100.64.0.0/10. Nesse modelo, a operadora coloca dezenas ou centenas de assinantes atras de um único IP público. O roteador doméstico recebe um IP da faixa 100.64.x.x como endereço WAN -- e esse IP e privado do ponto de vista da internet. Qualquer port forwarding configurado no roteador funciona dentro da rede da operadora, mas não chega até conexões externas vindas da internet pública.

Para verificar se você esta em CGNAT: acesse Meu IP neste site e compare o endereço exibido com o IP WAN que aparece no painel do roteador. Se forem diferentes, ou se o IP WAN começar com 100., você esta em CGNAT. Detalhes sobre o funcionamento em O que e CGNAT.

Participação de mercado: roteadores residenciais no Brasil

Os dados abaixo refletem estimativas de participação de mercado em vendas de roteadores Wi-Fi residenciais no Brasil em 2025, com base em dados de varejo e distribuição reportados pelo setor. Equipamentos fornecidos pelas próprias operadoras (Huawei, ZTE, Nokia, Sagemcom) não constam nessas estimativas de varejo, mas representam a maior fatia em número absoluto de unidades instaladas.

Estimativa de vendas no varejo em 2025. Equipamentos fornecidos por operadoras (Huawei, ZTE, Nokia, Sagemcom) não incluidos nessa base. Fontes: dados de distribuidores e reportagens do setor.

Alternativas quando o CGNAT bloqueia o port forwarding

IPv6 com firewall aberto (gratuito, onde disponível)

Se a operadora distribui IPv6, cada dispositivo da sua rede recebe um endereço público real sem NAT. Port forwarding em IPv6 não e feito no menu "NAT" -- e no firewall IPv6 do roteador. Basta liberar a porta no firewall IPv6 e usar o endereço IPv6 do dispositivo para acesso externo. Não ha custo adicional. Limitação: o cliente que acessa também precisa ter IPv6 funcional. Veja o guia completo em como configurar IPv6.

Cloudflare Tunnel (gratuito para HTTP e HTTPS)

Instale o daemon cloudflared na maquina que vai receber as conexões. Ele abre um tunel criptografado de saida para os servidores da Cloudflare, que fazem proxy reverso para o seu serviço. Funciona mesmo atras de CGNAT duplo. Ideal para sites, APIs, paineis. Não funciona para UDP ou protocolos de jogos que exigem conexão direta.

Tunel reverso via VPS

Alugue um servidor VPS com IP fixo dedicado -- planos partem de US$ 4 a 6/mês (DigitalOcean, Vultr, Hostinger). Configure SSH com port forwarding reverso ou WireGuard para tunel permanente. O VPS recebe a conexão externa e redireciona para sua maquina local via tunel criptografado. Funciona para qualquer protocolo.

IP fixo da operadora

Remove o CGNAT e garante endereço IPv4 público dedicado. A Vivo oferece em planos Vivo Empresas. A Claro em planos Claro Business / NET Empresas. Custo típico: R$ 50 a R$ 150/mês dependendo do plano e região. Solução definitiva para quem hospeda serviços regularmente em casa.

Portas mais usadas e seus serviços

Firewall do computador: a segunda barreira

A porta pode estar aberta no roteador e ainda aparecer fechada nos testes externos. O Firewall do Windows (ou ufw no Linux) bloqueia conexões de entrada por padrão para qualquer porta não explicitamente liberada.

No Windows: va em Painel de Controle > Sistema e Segurança > Windows Defender Firewall > Configurações Avancadas. Crie uma nova regra de entrada (Inbound Rule) para a porta desejada. No Ubuntu/Debian com ufw: execute sudo ufw allow PORTA/tcp no terminal.

Aplicativos como servidores web (Apache, Nginx), servidores de jogos e ferramentas de acesso remoto costumam criar suas próprias regras de firewall durante a instalação. Se o aplicativo criou a regra automaticamente, você não precisa criar manualmente -- mas vale confirmar.

Passos para liberar porta no Windows Defender Firewall

1. Abra o Painel de Controle, va em "Sistema e Segurança" e clique em "Windows Defender Firewall".
2. No painel esquerdo, clique em "Configurações Avancadas" para abrir o editor de regras de segurança.
3. Clique em "Regras de Entrada" (Inbound Rules) no painel esquerdo.
4. No painel direito, clique em "Nova Regra" (New Rule).
5. Selecione "Porta" e clique em Avancar.
6. Selecione TCP ou UDP conforme o protocolo necessário. Digite o número da porta (ex: 25565). Clique em Avancar.
7. Selecione "Permitir a conexão" e clique em Avancar duas vezes.
8. Dê um nome descritivo (ex: "Minecraft 25565") e conclua com Concluir.

Para verificar se o serviço esta escutando na porta: abra o Prompt de Comando e execute netstat -an | findstr :25565 (substitua o número). Se aparecer "LISTENING", o serviço esta ativo. Se não aparecer, o problema e no serviço em si, não no firewall ou no roteador.

UPnP: quando usar e quando desativar

UPnP (Universal Plug and Play) permite que aplicativos abram portas no roteador automaticamente. Jogos, clientes de torrent e plataformas de videoconferência usam UPnP para criar regras temporárias sem necessitar que o usuário configure port forwarding manualmente. Você ve as regras UPnP ativas no painel do roteador em "UPnP" ou "Mapa de Portas".

O risco do UPnP: qualquer aplicativo na rede local -- incluindo malware -- pode abrir portas no roteador sem nenhum aviso. Para ambientes seguros, desabilite UPnP em "Avancado > UPnP" e crie regras de port forwarding manuais apenas para os serviços que você usa. Se um jogo parar de funcionar após desabilitar UPnP, crie a regra manual para a porta específica do jogo.