O que é CGNAT
O que e CGNAT: RFC 6598, faixa 100.64.0.0/10, NAT compartilhado pelo provedor, impacto em jogos e hospedagem no Brasil, e como saber se você esta em CGNAT.
CGNAT (Carrier-Grade NAT) e uma técnica em que o próprio provedor de internet instala um segundo NAT antes de entregar o acesso ao usuário, permitindo que dezenas de assinantes compartilhem um único endereço IP público. A faixa reservada para esse enlace entre provedor e assinante e 100.64.0.0/10, definida pelo RFC 6598 em abril de 2012. No Brasil, mais de 60% dos usuários residenciais de fibra optica já estao atras de CGNAT sem saber, o que explica por que jogos ficam com NAT Estrito, hospedagem caseira não funciona e VPNs domésticas são impossíveis sem pagar por IP dedicado.
Neste artigo
- O que e CGNAT: definição técnica e RFC 6598
- Por que o CGNAT surgiu: esgotamento do IPv4
- Como o CGNAT funciona na prática
- Fluxo completo de um pacote em NAT444
- Impactos práticos do CGNAT para o usuário
- CGNAT no Brasil: regulamentação, provedores e Anatel
- Como detectar e contornar o CGNAT
- CGNAT e identificação juridica: Marco Civil e LGPD
- Perguntas frequentes
O que e CGNAT: definição técnica e RFC 6598
CGNAT (Carrier-Grade NAT), também chamado Large-Scale NAT (LSN) ou NAT444, e um mecanismo de tradução de endereços IP operado pelo provedor de internet em escala de operadora. O RFC 6598 (abril de 2012, IETF) formalizou a faixa 100.64.0.0/10 (de 100.64.0.0 a 100.127.255.255) exclusivamente para o enlace entre o equipamento do provedor e o CPE (Customer Premises Equipment) do assinante.
No modelo tradicional sem CGNAT, o provedor atribui ao roteador do assinante um endereço IP público único, roteável globalmente na internet. Com CGNAT, o provedor atribui ao roteador do assinante um IP na faixa 100.64/10 (privado de uso do provedor) e opera um dispositivo CGNAT no nucleo da rede que traduz essas conexões para um pool de IPs públicos compartilhados. O resultado e o que técnicos chamam de NAT444: tres camadas de endereços com dois NATs consecutivos.
Fundamentos acadêmicos do CGNAT
O CGNAT e posterior aos livros clássicos de redes (o RFC 6598 e de 2012). A literatura academica trata o NAT como precursor direto, documentando o mecanismo que o CGNAT expande para escala de operadora. Tanenbaum descreve a violacao arquitetural que o NAT representa, e o CGNAT amplifica:
"A NAT viola o modelo arquitetonico do IP, que estabelece que todo endereço IP identifica de forma exclusiva uma única maquina em todo o mundo."
Andrew S. Tanenbaum - Redes de Computadores, 4a edicao, p. 345 (Campus, 2004)
Peterson & Davie apresentam o NAT como "arquitetonicamente impuro" e identificam seu papel no atraso da adocao do IPv6, contexto direto do CGNAT:
"A técnica de NAT e vista por alguns como 'arquitetonicamente impura', mas também e um fato da vida das redes que não pode ser ignorado."
Larry L. Peterson, Bruce S. Davie - Redes de Computadores: Uma Abordagem de Sistemas, 5a edicao, p. 205 (Elsevier, 2013)
O mecanismo de mapeamento de portas TCP/UDP que o CGNAT usa em larga escala foi descrito por Tanenbaum no contexto do NAT tradicional:
"Na Internet, a comunicação funciona da forma descrita a seguir. A camada de transporte recebe os fluxos de dados e os divide em datagramas." [O CGNAT expande esse modelo adicionando uma segunda camada de tradução no nucleo do provedor, mapeando portas de dezenas de assinantes para um único IP público]
Andrew S. Tanenbaum - Redes de Computadores, 4a edicao, p. 334 (Campus, 2004)
Por que o CGNAT surgiu: esgotamento do IPv4
O IPv4 tem 2^32 = 4,29 bilhoes de endereços. Esse número parecia imenso em 1981, quando o RFC 791 o especificou para uma rede experimental. Não era. O crescimento explosivo da internet comercial nos anos 1990, seguido pela proliferacao de dispositivos móveis nos anos 2000, consumiu o espaco disponível muito mais rápido do que qualquer previsão.
O paliativo do NAT doméstico e seus limites
A primeira resposta ao problema foi o NAT (Network Address Translation) no nível do roteador doméstico. A RFC 1918 (1996) reservou tres faixas de endereços para uso privado interno. Com NAT, um único IP público poderia ser compartilhado por todos os dispositivos de uma residência ou escritorio. Isso expandiu a vida útil do IPv4 por duas decadas.
Mas o NAT doméstico não e suficiente quando o próprio número de conexões residenciais supera o espaco de IPs públicos disponíveis. Em fevereiro de 2011, o IANA distribuiu os últimos cinco blocos /8 de IPv4. O LACNIC, responsável pela America Latina, esgotou seu espaco em junho de 2014. Obter novos blocos IPv4 passou a exigir compra no mercado secundario, a preços que chegaram a USD 55-60 por endereço em 2023.
Por que o CGNAT e não simplesmente IPv6
A solucao estruturalmente correta seria migrar toda a infraestrutura para IPv6, que tem espaco virtualmente ilimitado. O problema e que essa migração exige atualização de equipamentos de rede (roteadores de borda, sistemas de gerenciamento, plataformas de billing), treinamento de equipes e atualização de sistemas de monitoramento. Para provedores com milhoes de clientes, o custo e o tempo de transição são significativos.
O CGNAT surgiu como solucao de curto prazo que, na prática, se tornou semi-permanente em grande parte da infraestrutura brasileira. Provedores continuam implantando CGNAT em novas conexões porque e mais rápido e barato do que um rollout completo de IPv6, mesmo que crie problemas para os usuários.
| Aspecto | CGNAT | IPv6 nativo |
|---|---|---|
| Custo de implantação | Baixo para o provedor | Alto (atualização de infra completa) |
| Espaco de endereços | Compartilha IPv4 existente | 2^128 endereços novos |
| Impacto para o usuário | NAT duplo, sem conexões de entrada | IP dedicado, sem NAT |
| Jogos e P2P | Problemas de NAT Estrito | Funciona normalmente |
| Hospedagem caseira | Impossível sem IP dedicado | Possível com firewall configurado |
| Identificação juridica | Exige log de porta + timestamp (complexo) | IP único por dispositivo (simples) |
| Latência adicionada | 1-5ms em equipamentos modernos | Zero (sem tradução) |
| Durabilidade | Paliativo; não escala para IoT | Solucao definitiva |
Como o CGNAT funciona na prática
O dispositivo CGNAT do provedor (chamado LSN gateway, CGNAT device ou A+P gateway) e um equipamento de rede de alto desempenho que mantém uma tabela de tradução de portas em escala massiva. Pode gerenciar dezenas de milhares de conexões simultaneas por segundo.
A tabela de tradução de portas
O RFC 6598 e os documentos complementares (RFC 6264, RFC 7857) descrevem diferentes modelos de alocação de portas no CGNAT. O modelo mais comum e o PAT (Port Address Translation) dinâmico: o CGNAT aloca portas de um pool de 65535 sob demanda. Isso limita quantas conexões simultaneas um único IP público pode suportar: com 64 usuários compartilhando um IP, cada um tem em média cerca de 1000 portas disponíveis.
Port allocation no CGNAT
Quando o limite de portas e atingido por um usuário, novas conexões TCP são recusadas silenciosamente. Isso manifesta como falhas aleatorias de conexão em aplicativos que fazem muitas requisicoes paralelas (streaming de musica com muitas faixas, jogos online em pico de trafego) sem mensagem de erro clara. O diagnóstico e difícil porque parece intermitente.
Fluxo completo de um pacote em NAT444
A hierarquia de endereçamento do CGNAT pode ser visualizada em tres camadas coloridas no estilo book-style (Tanenbaum/Peterson):
192.168.x.x (RFC 1918)
100.64.0.0/10 (RFC 6598)
tradução PAT dinâmico
visível na internet
Impactos práticos do CGNAT para o usuário
Os impactos variam conforme o uso. Para navegação web e streaming, o CGNAT e praticamente invisível. Os problemas aparecem em casos especificos.
Jogos online e NAT tipo Estrito
Consoles e jogos que usam conectividade peer-to-peer detectam o tipo de NAT da conexão. PlayStation 4/5 mostra NAT tipo 1 (aberto), tipo 2 (moderado) ou tipo 3 (estrito). Xbox usa Aberto, Moderado ou Estrito. Nintendo Switch usa A, B ou C.
CGNAT geralmente resulta em NAT Estrito (tipo 3 no PlayStation, Estrito no Xbox), que bloqueia funções como: abrir partida privada em jogos como FIFA, GTA Online ou Rocket League; conectar diretamente com amigos sem passar por servidor intermediário; algumas funções de chat de voz peer-to-peer. O matchmaking via servidor central ainda funciona, mas com latência maior e em pools menores de jogadores.
Hospedagem caseira e servidores
Qualquer serviço que precise aceitar conexões de entrada (servidor web, servidor de jogos Minecraft, NAS acessível remotamente, camera IP) e impossível de hospedar em CGNAT sem ferramentas adicionais. A porta 80 ou 443 do seu roteador nunca sera acessível externamente porque o CGNAT intercepta o trafego antes.
VoIP e SIP: protocolos que embarcam IPs no payload
O protocolo SIP (Session Initiation Protocol), usado em telefonia VoIP, embarca endereços IP no corpo das mensagens de sinalizacao. Quando o CGNAT traduz o IP no cabeçalho mas não atualiza o IP dentro do payload SIP, a conexão de áudio falha. Esse problema e chamado de "SIP ALG" e exige configurações especificas no CGNAT para funcionar corretamente com sistemas VoIP legados.
| Uso | Impacto com CGNAT | Solucao possível | Custo estimado |
|---|---|---|---|
| Navegação web / streaming | Nenhum perceptível | Não necessaria | Gratis |
| Jogos online P2P (consoles) | NAT Estrito, limitações de matchmaking | IP dedicado ou IPv6 nativo | R$ 10-30/mes |
| Servidor Minecraft / web | Inacessível externamente | IP dedicado, Cloudflare Tunnel ou ngrok | Gratis a R$ 30/mes |
| VPN doméstica (WireGuard, OpenVPN) | Não aceita conexões de entrada | Tailscale (NAT traversal) ou IP dedicado | Gratis (Tailscale pessoal) |
| Camera IP / NAS remoto | Port forwarding não funciona | Tailscale, ZeroTier ou Cloudflare Tunnel | Gratis |
| VoIP SIP | Áudio pode falhar (SIP ALG) | SIP sobre TLS ou provider com suporte CGNAT | Gratis (configuração) |
| Torrents / P2P | Modo passivo apenas, menos peers | IPv6 (trackers e peers IPv6 funcionam) | Gratis (se provedor tiver IPv6) |
| Internet das Coisas (IoT) | Dispositivos não acessíveis remotamente | MQTT/WebSocket (conexão de saida), Tailscale | Gratis |
CGNAT no Brasil: regulamentação, provedores e Anatel
O Brasil e um dos países com maior prevalencia de CGNAT residencial do mundo. Estima-se que acima de 60% dos usuários de fibra e acima de 80% dos usuários de internet móvel 4G/5G estejam atras de CGNAT atualmente, segundo relatos de provedores e dados de pesquisadores da comunidade NIC.br.
A resposta da Anatel: Ato 14.612 de 2022
Em 2022, a Anatel publicou o Ato 14.612, que exigiu que provedores com mais de 50.000 acessos ativos oferecessem, mediante solicitacao do assinante, uma opção de acesso sem CGNAT. A opção pode ser IP público dedicado ou IPv6 nativo (que elimina a necessidade de NAT).
A implementação foi irregular. Grandes provedores (Claro, Vivo) passaram a oferecer IP dedicado como serviço pago. Provedores menores frequentemente alegam indisponibilidade técnica ou cobram valores que variam muito. A Anatel não publicou metricas de conformidade públicas desde a publicação do ato.
Os principais provedores e CGNAT em 2025
| Provedor (ASN) | CGNAT em fibra | IP dedicado disponível | IPv6 nativo | Custo IP dedicado |
|---|---|---|---|---|
| Claro (AS28573) | Sim (HFC e GPON) | Sim | Parcial (>40% clientes) | ~R$ 10-20/mes |
| Vivo (AS26599) | Sim (GPON residencial) | Planos empresariais | Parcial (>40% clientes) | Planos SLA empresarial |
| TIM (AS26615) | Sim (4G); IPv6-only em 5G | Limitado | Sim em 5G | Não disponível |
| Oi (AS7738) | Variavel por região | Variavel | Parcial | Variavel |
| Algar (AS16735) | Em parte dos planos | Sim em planos business | Em implantação | ~R$ 15-40/mes |
Como detectar e contornar o CGNAT
Detectar CGNAT e simples. Contornar requer solucoes especificas para cada caso de uso.
Deteccao passo a passo
- Acesse a ferramenta Meu IP desta página e anote o IP exibido (IP público visto pelos servidores).
- Abra o painel de administracao do roteador (geralmente 192.168.0.1 ou 192.168.1.1) e localize o IP de WAN (Wide Area Network ou Internet IP).
- Compare os dois IPs. Se o IP de WAN do roteador for diferente do IP público detectado, ha CGNAT. Se o IP de WAN estiver na faixa 100.64.0.0 a 100.127.255.255, a confirmação e direta pela faixa RFC 6598.
- Para confirmar em linha de comando no Windows: execute "tracert [IP público detectado]" e observe se o primeiro salto e o gateway (192.168.x.x) e o segundo já esta na internet ou passa por 100.64.x.x antes.
Solucoes por caso de uso
Para jogos: solicitar IP dedicado ao provedor (serviço pago, geralmente R$ 10-30/mes) ou verificar se o provedor oferece IPv6 nativo. Em alguns jogos, configurar o console para usar IPv6 resolve o problema de NAT sem custo adicional.
Para servidores domésticos e cameras remotas: ferramentas de tunelamento como Tailscale (gratuito para uso pessoal) ou ZeroTier criam redes privadas que atravessam NAT sem precisar de port forwarding. O Tailscale usa o protocolo WireGuard com NAT traversal via servidores de relay, funcionando mesmo em CGNAT triplo. O Cloudflare Tunnel expoe serviços locais gratuitamente para trafego básico.
Para VPN doméstica: WireGuard e OpenVPN convencionais não aceitam conexões de entrada em CGNAT. A alternativa e usar o modo "server na nuvem + client doméstico": contratar um VPS barato (R$ 20-40/mes) com IP público e fazer o tunel de volta para casa. Ou usar Tailscale, que resolve NAT traversal automaticamente sem VPS.
CGNAT e identificação juridica: Marco Civil e LGPD
O CGNAT cria um problema juridico serio: o endereço IP público compartilhado por dezenas de assinantes não identifica um usuário especifico. Se um crime digital e cometido a partir do IP 200.100.50.10 as 14h32min de uma determinada data, como identificar qual dos 50 assinantes que compartilham esse IP estava conectado naquele momento?
A obrigacao de log de porta
A Lei 12.965/2014 (Marco Civil da Internet), no artigo 13, obriga provedores de conexão a armazenar logs de conexão por um ano. Para conexões em CGNAT, o log precisa incluir não apenas o IP público, mas também a porta de tradução usada pelo assinante e o timestamp. Com o par (IP público + porta + timestamp), e possível identificar qual assinante especifico realizou uma conexão determinada.
Sem esse log granular, a identificação e impossível. O IP público sozinho não e suficiente. E por isso que o Marco Civil e tecnicamente preciso ao exigir "registro de data e hora de início e termino de cada conexão" e informações de porta lógica em conexões CGNAT, conforme detalhado no Decreto 8.771/2016 que o regulamenta.
A tensao com a LGPD
A LGPD (Lei 13.709/2018) classifica o endereço IP como dado pessoal por possibilitar identificação indireta. Logs de porta CGNAT, que associam IP público a IP do assinante e porta, são dados ainda mais sensíveis. Provedores que reteram esses dados por um ano (obrigacao do Marco Civil) precisam tratar essa retenção como processamento de dado pessoal, com base legal (obrigacao legal do Marco Civil) e proteção adequada contra acesso não autorizado.
Perguntas frequentes sobre o que e CGNAT
O que e CGNAT e como afeta minha conexão?
CGNAT (Carrier-Grade NAT) e um segundo NAT instalado pelo provedor entre a internet e o roteador do assinante. O provedor atribui ao roteador um IP da faixa 100.64.0.0/10 (RFC 6598) e compartilha IPs públicos entre dezenas de clientes. O impacto prático para a maioria dos usuários e imperceptível na navegação web e streaming. Os problemas aparecem em jogos online (NAT Estrito), hospedagem de servidores domésticos (impossível sem IP dedicado) e VoIP (possíveis falhas em SIP).
Como saber se estou em CGNAT?
Compare o IP mostrado pela ferramenta Meu IP desta página com o IP de WAN do painel do seu roteador (geralmente em 192.168.0.1). Se os dois IPs forem diferentes, ha CGNAT. Se o IP de WAN estiver na faixa 100.64.0.0 a 100.127.255.255, isso confirma que o provedor usa a faixa RFC 6598 dedicada para CGNAT.
CGNAT afeta jogos online?
Afeta jogos que usam conectividade peer-to-peer direta entre jogadores. PlayStation 4/5 tipicamente mostra NAT tipo 3 (Estrito) em CGNAT, bloqueando algumas funções de multiplayer. Xbox mostra NAT Estrito. Nintendo Switch mostra NAT tipo C. Jogos que usam apenas servidores dedicados (como a maioria dos MMOs) funcionam normalmente. Para resolver em consoles: solicitar IP dedicado ao provedor ou verificar se ha suporte a IPv6 nativo no plano.
Posso sair do CGNAT no Brasil?
Sim, geralmente com custo adicional. A Anatel exigiu pelo Ato 14.612 de 2022 que provedores com mais de 50.000 acessos oferecessem opção sem CGNAT. Claro e Vivo oferecem IP dedicado pago (R$ 10-30/mes dependendo da região e plano). Outra opção e usar provedor que já oferece IPv6 nativo, que elimina o CGNAT para trafego IPv6. Provedores menores de fibra frequentemente oferecem IP público por padrão sem custo adicional nos planos business.
CGNAT e ilegal no Brasil?
Não. CGNAT e uma técnica tecnicamente valida para gerenciar o esgotamento de endereços IPv4. A questao legal gira em torno dos logs: a Lei 12.965/2014 (Marco Civil) exige que provedores em CGNAT armazenem, por um ano, o registro com IP público, porta de tradução e timestamp para cada conexão de assinante. Isso permite identificação judicial. Sem esse log granular, seria impossível rastrear atividades especificas de usuários que compartilham o mesmo IP público.
Como hospedar um servidor em casa com CGNAT?
Hospedagem direta via port forwarding não funciona em CGNAT porque o segundo NAT do provedor bloqueia conexões de entrada. As alternativas viáveis são: Tailscale ou ZeroTier (redes privadas com NAT traversal automático, gratuitas para uso pessoal); Cloudflare Tunnel (expoe serviços locais via tunelamento para a nuvem Cloudflare, gratuito para trafego básico); VPS com tunel reverso (contratar um servidor na nuvem com IP público e fazer port forwarding de volta para casa via SSH ou WireGuard).
Qual e a diferença entre CGNAT e NAT doméstico?
NAT doméstico e feito pelo roteador do usuário, traduzindo IPs privados (192.168.x.x) para o IP público atribuido pelo provedor. CGNAT e um segundo NAT, feito pelo próprio provedor antes de entregar o trafego, traduzindo o IP na faixa 100.64/10 para um IP público compartilhado por múltiplos assinantes. No CGNAT, o usuário tem NAT duplo: o do roteador doméstico e o do provedor. Por isso o nome NAT444: tres níveis de espaco de endereços.
IPv6 resolve o problema do CGNAT?
Em grande parte, sim. Com IPv6 nativo, cada dispositivo recebe um endereço globalmente único, eliminando a necessidade de NAT. Hospedagem caseira, jogos P2P e VoIP funcionam sem restricoes de NAT. O problema e que muitos servidores e serviços ainda não suportam IPv6. A solucao transitoria e o dual-stack: conexão com IPv4 (possivelmente CGNAT) e IPv6 simultaneos, usando IPv6 quando o destino suporta. O Brasil já tinha 50% de trafego IPv6 em 2025, segundo o NIC.br.
O que e a faixa 100.64.0.0/10?
A faixa 100.64.0.0/10 (de 100.64.0.0 até 100.127.255.255, totalizando 4.194.304 endereços) foi reservada exclusivamente pelo RFC 6598 para uso interno de provedores em CGNAT. Ela e chamada de "shared address space" (espaco de endereços compartilhado). Não e roteável na internet pública e não deve ser usada por usuários ou empresas em suas redes internas (existe a RFC 1918 para isso). Se o IP de WAN do seu roteador estiver nessa faixa, e confirmação de CGNAT.
Como funciona o Tailscale para contornar CGNAT?
Tailscale cria uma rede mesh virtual usando WireGuard para criptografia. Quando dois dispositivos tentam se conectar e ambos estao atras de NAT (incluindo CGNAT), o Tailscale usa técnicas de NAT traversal (hole punching via STUN/DERP) para estabelecer uma conexão direta quando possível. Se o direto não e possível (CGNAT simetrico), usa seus servidores DERP como relay. O resultado: dois dispositivos em CG diferente conseguem se comunicar como se estivessem na mesma rede local.
Quantas pessoas compartilham um IP público em CGNAT?
Varia por provedor e configuração. O RFC 6598 não define um número máximo. Na prática brasileira, relatos de usuários e pesquisadores apontam para 16 a 128 assinantes por IP público, com médias em torno de 32-64. Com 64 usuários compartilhando um IP e 65535 portas TCP disponíveis, cada usuário tem em média 1024 portas simultaneas. Para navegação web normal, isso e mais do suficiente. Para torrents ou aplicações com muitas conexões paralelas, pode ser limitante.
O CGNAT e a realidade invisível de mais da metade das conexões residenciais no Brasil. Entender o que e CGNAT ajuda a diagnosticar problemas de NAT em jogos, entender por que hospedagem caseira não funciona e escolher as alternativas certas. Use a ferramenta Meu IP desta página para detectar automaticamente se sua conexão esta em CGNAT e qual e o IP público sendo usado.
Para o contexto técnico completo, os artigos sobre o que e IP e o que e IPv6 explicam os fundamentos do endereçamento que tornam o CGNAT necessario. A especificação oficial do CGNAT esta no RFC 6598 (abril 2012, IETF) e as implicacoes legais no Brasil estao detalhadas na Lei 12.965/2014 (Marco Civil da Internet, Planalto).
Referências bibliograficas
- Weil, J. et al. RFC 6598 - IANA-Reserved IPv4 Prefix for Shared Address Space. IETF, abril 2012. (Define a faixa 100.64.0.0/10 para CGNAT)
- Tanenbaum, A. S. Redes de Computadores. 4a edicao. Campus, 2004. (Secao 5.6.5 - NAT, p. 342-345)
- Peterson, L. L.; Davie, B. S. Redes de Computadores: Uma Abordagem de Sistemas. 5a edicao. Elsevier, 2013. (Secao sobre NAT, p. 205)
- Shirasaki, Y. et al. RFC 6269 - Issues with IP Address Sharing. IETF, junho 2011.
- IETF Behave Working Group - Large-Scale NAT (LSN) specifications. Disponível em https://datatracker.ietf.org
- Anatel - Regulamento de Gestao da Qualidade do Serviço de Acesso Condicionado (RGQ-SeAC) e resolucoes sobre logs de CGNAT.
Detectar CGNAT
Leituras Relacionadas
- Claro NET CGNAT — Claro NET CGNAT compartilha o IPv4 público na faixa 100.64.0.0/10 entre vários assinantes. Saiba detectar pelo painel do roteador e migrar para IPv6 ou IP fixo.
- Diferença entre IP público e privado — Diferenca ip público privado: RFC 1918, faixas reservadas, como funciona o NAT, roteamento e casos de uso de cada tipo de endereco IP na rede brasileira.
- O que é IP — O que e IP: entenda o Internet Protocol, a diferenca entre IPv4 e IPv6, IP público e privado, historia ARPANET e RFC 791. Explicacao completa com exemplos.