Modem vs roteador

O que e um modem e o que ele faz

Modem e abreviacao de modulador-demodulador. O nome vem de quando conexões de internet eram feitas por linha telefonica analógica: o modem convertia dados digitais do computador em tons analógicos para transmissão pela linha, e os demodulava do lado oposto. Esse conceito original já e história, mas o nome ficou.

Hoje, "modem" designa qualquer equipamento que adapta o sinal do meio físico do provedor para Ethernet digital usável pelo roteador. O trabalho técnico varia muito dependendo da tecnologia de acesso.

Modem ADSL/VDSL

Em conexões DSL (ainda ativas em algumas regiões do Brasil), o modem se comúnica com o DSLAM (Digital Subscriber Line Access Multiplexer) na central da operadora usando modulação DMT sobre par trancado de cobre. ADSL2+ chegava a 24 Mbps de download. VDSL2 pode atingir 100 Mbps em distâncias curtas da central.

Modem DOCSIS (cabo coaxial)

Em conexões de cabo coaxial (como Claro NET históricamente), o modem DOCSIS se comúnica com o CMTS (Cable Modem Termination System) do provedor. DOCSIS 3.0 suporta até 1,2 Gbps downstream em canais bonded. DOCSIS 3.1 atinge 10 Gbps downstream.

ONT em fibra óptica GPON

Em fibra óptica GPON (Gigabit Passive Optical Network), o equipamento que faz o papel do modem se chama ONT (Optical Network Terminal) ou ONU (Optical Network Unit). Ele recebe pulsos de luz pelo cabo de fibra e converte para sinal elétrico Ethernet de 1 Gbps (GPON) ou 10 Gbps (XGS-PON). A ONT se conecta ao OLT (Optical Line Terminal) no data center da operadora.

O que e um roteador e como ele distribui a conexão

Roteador e o dispositivo que conecta duas redes e decide como encaminhar pacotes entre elas. Em casa, essa função e conectar a rede interna (LAN, onde ficam seus dispositivos) a rede do provedor (WAN, que leva a internet).

Tres funções são centrais no roteador domestico. NAT (Network Address Translation): seu roteador recebe um único endereço IP público do provedor e distribui endereços privados (192.168.x.x ou 10.x.x.x) para os dispositivos da casa. DHCP local: atribui automáticamente um endereço IP privado a cada dispositivo que conecta. Roteamento: decide qual interface de rede usar para cada pacote baseando-se na tabela de rotas.

Roteadores com Wi-Fi integrado (wireless router) adicionam a função de ponto de acesso, que trabalha nas camadas 1 (física) e 2 (enlace) do modelo OSI para transmitir dados pelo ar.

Diagrama: ISP, modem, roteador e dispositivos

O diagrama abaixo mostra como o sinal percorre o caminho desde a infraestrutura do provedor até os dispositivos da sua casa, passando pelas duas funções distintas do modem e do roteador.

Comparacao pelas camadas do modelo OSI

Tipos de modem e ONT no Brasil

O Brasil fez uma migracao agressiva para fibra óptica na ultima década. Em 2026, a maioria dos provedores urbanos opera GPON ou XGS-PON. DSL (ADSL, VDSL) persiste em cidades menores e áreas rurais onde o custo de implantacao de fibra ainda não e viavel.

Gateway integrado: quando um faz o serviço dos dois

Gateway integrado e o aparelho único que o provedor entrega contendo ONT, roteador, ponto de acesso Wi-Fi e switch em um único dispositivo. E o que a maioria dos brasileiros tem em casa sem saber que ele faz múltiplas funções.

O problema dos gateways integrados de provedor e o hardware limitado. Dispositivos entregues sem custo adicional normalmente são os modelos mais básicos do catalogo: CPU de 400 a 700 MHz, memória RAM de 64 a 128 MB, Wi-Fi com antenas internas de ganho baixo. Para 5 a 10 dispositivos simultâneos com uso moderado, funciona. Para 20 dispositivos com streaming 4K, downloads, câmeras e jogos ao mesmo tempo, a CPU satura.

Double NAT, modo bridge e DMZ

Double NAT acontece quando você conecta um roteador próprio ao gateway do provedor sem desativar o NAT do gateway. Resultado: o gateway faz NAT do IP público para um IP privado (como 192.168.0.2), e seu roteador faz NAT novamente desse IP para os dispositivos da casa (192.168.1.x). Dois níveis de NAT.

Para a maioria dos usos domesticos, double NAT e invisivel. Streaming, navegação e downloads funcionam normalmente. Os problemas aparecem em:

• Jogos com arquitetura P2P (NAT tipo restrito ou moderado)
• Hospedagem de servidor em casa (port forwarding precisa ser configurado em dois equipamentos)
• VoIP com problemas de chamada
• Torrents com velocidade baixa por falta de conexões de entrada

1. Confirmar double NAT: acesse Meu IP para ver o IP público. Depois acesse o painel do roteador próprio e vejá o IP WAN que ele recebeu do gateway. Se o IP WAN do seu roteador for diferente do IP público (e não estiver na faixa 100.64.x.x), você tem double NAT ativo.
2. Configurar modo bridge no gateway: acesse o painel do gateway do provedor (Vivo: 192.168.15.1, Claro: 192.168.100.1, TIM: 192.168.0.1) com as credenciais de usuário. Procure a opção "Modo Bridge", "Bridge Mode" ou "Desativar NAT" nas configurações de WAN. Salve e reinicie o gateway. Seu roteador próprio passara a receber o IP público diretamente.
3. Alternativa com DMZ: se o modo bridge não estiver disponível ou o provedor bloquear o painel avançado, configure a DMZ do gateway para o IP do roteador próprio (ex: 192.168.0.2). O gateway encaminhara todo o trafego de entrada para o roteador. O double NAT técnico permanece, mas o comportamento e equivalente ao bridge para conexões de entrada.
4. Testar com ferramenta de NAT: após a configuração, use a verificação de NAT de um jogo (como o teste de NAT do PlayStation Network ou o status de NAT do cliente do League of Legends) para confirmar que o tipo de NAT mudou de restrito para aberto.

Usar roteador próprio: quando vale e como configurar

Vale considerar roteador próprio quando o gateway do provedor apresenta cobertura Wi-Fi insuficiente para o tamanho da casa, a CPU satura com muitos dispositivos, ou você precisa de funcionalidades como VPN integrada, QoS avançado ou controle parental por DNS.

Como configurar roteador próprio em provedores com PPPoE

Alguns provedores brasileiros usam PPPoE (Point-to-Point Protocol over Ethernet) para autenticação. Nesses casos, o roteador próprio precisa ser configurado com as credenciais PPPoE (usuário e senha) fornecidas pelo provedor. Provedores como Vivo em algumas regiões usam IPoE (IP over Ethernet) sem PPPoE, onde o roteador recebe IP via DHCP normalmente. Para saber qual método usar, verifique a documentação do provedor ou ligue para o suporte técnico antes de configurar.

Sistemas mesh e Wi-Fi 6: quando o roteador único não basta

Um roteador de ponto único cobre um raio de apróximadamente 15 a 25 metros em linha reta em ambiente residêncial. Paredes de concreto armado (comuns em apartamentos brasileiros) reduzem esse alcance para 5 a 10 metros. Em casas de dois andares ou com mais de 100 m2 de area útil, a cobertura de um único roteador fica inevitavelmente irregular.

Sistemas mesh resolvem isso com nos múltiplos que formam uma rede unificada. O no principal conecta ao modem/ONT pelo porto WAN. Os nos secundarios (satelites) se comúnicam com o no principal via Wi-Fi em uma faixa dedicada (chamada de backhaul wireless) ou via cabo Ethernet (backhaul cabeado, a opção ideal para desempenho). A diferença fundamental para repetidores tradicionais e que o mesh gerencia automáticamente o roaming de dispositivos entre nos, mantendo o mesmo SSID e sem desconexões perceptiveis ao se mover pela casa.

Sistemas com backhaul Ethernet dedicado (onde os nos se conectam por cabo entre si, liberando as faixas Wi-Fi inteiramente para dispositivos clientes) oferecem desempenho muito superior ao backhaul wireless. Para instalações permanentes onde e possível passar cabo entre andares ou comodos, o backhaul cabeado transforma um sistema mesh em equivalente a um sistema de APs empresariais a uma fracao do custo.

Wi-Fi 6 (802.11ax) traz duas melhorias relevantes para ambientes com muitos dispositivos: OFDMA (Orthogonal Frequency Division Multiple Access) e MU-MIMO aprimorado. O OFDMA permite que o AP envie dados para varios dispositivos simultâneamente em subportadoras diferentes, reduzindo a latencia em ambientes densos. MU-MIMO (Multi-User Multiple Input Multiple Output) permite comúnicação paralela com até 8 dispositivos ao mesmo tempo em Wi-Fi 6, contra 4 no Wi-Fi 5.

Backhaul wireless: 2,4 GHz vs 5 GHz vs 6 GHz

Sistemas mesh tri-band (como TP-Link Deco XE75 ou ASUS ZenWiFi Pro XT12) dedicam a faixa de 6 GHz ao backhaul entre nos. A faixa de 6 GHz (Wi-Fi 6E) tem espectro muito menos congestionado que 2,4 GHz e 5 GHz porque pouquissimos dispositivos legados a usam. O resultado e um backhaul de alta velocidade e baixa latencia entre os nos, deixando as faixas de 2,4 e 5 GHz disponíveis integralmente para dispositivos clientes.

Seguranca da rede domestica: o que o roteador pode e não pode fazer

O roteador domestico e a primeirá linha de defesa da rede interna contra conexões não solicitadas da internet. O NAT (Network Address Translation) já oferece uma proteção passiva significativa: como os dispositivos da rede local não tem IPs públicos, conexões iniciadas de fora não conseguem alcancar dispositivos internos diretamente. Isso não e um firewall real (não filtra trafego por regras de política), mas e efetivo para bloquear a grande maioria das varreduras automáticas de porta que ocorrem continuamente na internet.

Roteadores modernos incluem SPI (Stateful Packet Inspection) que vai além do NAT básico: rastrea o estado das conexões estabelecidas e descarta pacotes que não pertencem a nenhuma sessao ativa. Isso bloqueia ataques de session hijacking e pacotes forjados que tentam se infiltrar em sessoes legitimas.

O que o roteador domestico tipicamente NAO faz: inspeção profunda de pacotes criptografados (DPI sobre TLS), filtragem de malware por assinatura, detecção de intrusao baseada em comportamento (IDS/IPS), ou filtragem de conteúdo de nível empresarial. Para essas funções, são necessários firewalls de próximo geracao (Fortinet, Palo Alto, pfSense com Suricata) ou serviços de DNS de seguranca (NextDNS, Cloudflare Gateway).

VLAN domestica: isolando dispositivos IoT

Dispositivos IoT (câmeras IP baratas, lâmpadas inteligentes, termostatos, assistentes de voz) frequentemente tem firmware desatualizado com vulnerabilidades conhecidas. Coloca-los na mesma rede que computadores e celulares significa que um dispositivo IoT comprometido pode tentar acessar os outros dispositivos da rede local.

Roteadores com suporte a VLAN (Virtual LAN) e redes de convidado permitem isolar dispositivos IoT em uma sub-rede separada. Esses dispositivos continuam tendo acesso a internet, mas não conseguem se comúnicar com a rede principal onde ficam computadores e NAS. Roteadores ASUS com Merlin firmware, TP-Link com OpenWRT e Mikrotik suportam configurações de VLAN mais avançadas. Mesmo sem VLAN formal, a opção "Rede de Convidado" presente na maioria dos roteadores modernos oferece isolamento básico.

Atualizacoes de firmware: o habito mais importante

A maior vulnerabilidade de seguranca em redes domesticas não e a configuração do roteador, e o firmware desatualizado. Vulnerabilidades em firmware de roteadores são divulgadas regularmente: buffer overflows na interface web de gerenciamento, senhas padrão não alteradas, portas de gerenciamento expostas inadvertidamente. Fabricantes como ASUS e TP-Link lancam atualizacoes de firmware periodicamente que corrigem essas falhas.

Para gateways entregues por provedores brasileiros (Technicolor, ZTE, Huawei), as atualizacoes são geralmente feitas pelo próprio provedor remotamente. O usuário não tem controle sobre o ciclo de atualizacao, e muitos modelos ficam sem atualizacoes por anos. Usar um roteador próprio em modo bridge (com o gateway do provedor funcionando apenas como modem) resolve esse problema: o firmware do roteador próprio e atualizado pelo fabricante e pelo usuário com muito mais frequência.

CGNAT, modo bridge e o caminho do pacote na rede brasileira

A maioria dos provedores brasileiros de fibra residêncial entrega o serviço em modo PPPoE ou DHCP com CGNAT. O modem/ONT que o técnico instala converte o sinal óptico em Ethernet, e o gateway do provedor (frequentemente um dispositivo que e ao mesmo tempo ONT, modem e roteador) faz NAT usando um IP privado do range 100.64.0.0/10 (CGNAT, RFC 6598). O IP público visivel na internet e compartilhado com dezenas ou centenas de outros usuários do mesmo BRAS (Broadband Remote Access Server) do provedor.

Nessa configuração padrão, se você adiciona um roteador próprio entre o gateway do provedor e seus dispositivos, cria uma situação de double NAT: seus dispositivos recebem IPs do seu roteador (ex: 192.168.1.0/24), que por sua vez tem um IP privado do provedor (100.64.x.x), que por sua vez compartilha um IP público via CGNAT do ISP. Tres camadas de NAT. O trafego TCP funciona normalmente, mas jogos com NAT traversal, chamadas P2P e alguns serviços VPN passam a ter problemas.

A solução para double NAT e colocar o gateway do provedor em modo bridge. Em modo bridge, o gateway para de fazer NAT e funciona apenas como conversor de midia (óptico para Ethernet, ou coaxial para Ethernet). O seu roteador próprio recebe o IP diretamente do ISP (ainda que sejá um IP CGNAT se o provedor usar CGNAT, mas pelo menos e apenas uma camada de NAT, não duas).

O procedimento de bridge mode varia por modelo de gateway. Para Technicolor gateways usados pela Vivo, o modo bridge geralmente está em "WAN" -> "Mode" -> "Bridge". Para gateways Huawei usados por varios provedores, o acesso e via telnet ou via interface avançada. Provedores costumam bloquear essa opção nos firmwares customizados que fornecem, nesse caso e necessário ligar para o suporte e solicitar a mudanca.

Topologia de rede domestica: flat vs segmentada

Uma rede domestica "flat" tem todos os dispositivos no mesmo segmento de rede: smartphones, laptops, smart TVs, câmeras de seguranca, impressoras e dispositivos IoT todos no mesmo broadcast domain (192.168.1.0/24, por exemplo). Qualquer dispositivo pode se comúnicar diretamente com qualquer outro. E simples mas tem implicacoes de seguranca: um dispositivo IoT comprometido (que e comum, dado o histórico de vulnerabilidades em câmeras IP e smart TVs) tem acesso irrestrito a todos os outros.

Uma rede segmentada usa VLANs para isolar grupos de dispositivos. Cameras de seguranca na VLAN 10, IoT na VLAN 20, computadores pessoais na VLAN 30, e assim por diante. Roteadores com suporte a VLAN (MikroTik, Ubiquiti, alguns modelos de ponta da TP-Link e ASUS) permitem essa segmentação. Trafego entre VLANs passa pelo roteador, que pode aplicar regras de firewall para controlar o que cada VLAN pode acessar.

Para a maioria das residências, a rede flat e suficiente se as senhas de Wi-Fi forem fortes e o firmware do roteador estiver atualizado. A segmentação com VLAN e recomendada quando ha dispositivos IoT de marcas desconhecidas ou quando a residência tem acesso de visitantes frequente que precisam de Wi-Fi mas não devem ter acesso aos dispositivos pessoais.

Wi-Fi 6E e Wi-Fi 7: o que muda na prática

Wi-Fi 6E (802.11ax na faixa de 6 GHz) foi aprovado para uso no Brasil pela Anatel em 2021, Resolução 742/2020. A faixa de 6 GHz oferece 1.200 MHz de espectro adicional, dividido em canais de 80 MHz ou 160 MHz. Como a faixa e nova, não ha interferência de dispositivos legados (microondas, telefones sem fio, outros roteadores). A desvantagem e a propagacao reduzida: paredes e obstaculos absorvem mais o sinal de 6 GHz que os de 5 GHz ou 2,4 GHz.

Wi-Fi 7 (802.11be) específica suporte a canais de 320 MHz, Multi-Link Operation (MLO, que permite dispositivos se conectar em múltiplas bandas simultâneamente) e velocidades teóricas acima de 30 Gbps. Roteadores Wi-Fi 7 chegaram ao mercado brasileiro no final de 2024. Para a maioria dos usuários residênciais com conexões de até 1 Gbps, Wi-Fi 6 (com suporte a 1.200 Mbps em 5 GHz com dois streams) já e mais que suficiente. Wi-Fi 7 faz diferença em casos de uso específicos: streaming de vídeo 8K, aplicações XR (realidade estendida) ou redes com dezenas de dispositivos simultâneos.

O gargalo em conexões residênciais de 300-600 Mbps raramente e o Wi-Fi moderno em ambiente sem muita interferência. O gargalo mais comum e o cabo Ethernet do modem ao roteador (Cat 5 limitado a 100 Mbps), o hardware do CPE do provedor processando NAT em hardware limitado, ou a qualidade do sinal óptico na ONT. Substituir o roteador por um modelo Wi-Fi 7 sem resolver esses outros pontos não traz melhoria perceptivel.

Perguntas frequentes sobre modem e roteador