CGNAT (Carrier-Grade NAT) deixou de ser assunto de provedor grande. Com o IPv4 esgotado e o preço do bloco lá em cima, cedo ou tarde todo provedor precisa compartilhar um IP público entre vários clientes. A pergunta não é se, é como — sem quebrar quem usa CFTV, jogo online ou trabalha com porta aberta.
O que é CGNAT, na prática
No cenário antigo, cada cliente pegava um IPv4 público. Hoje isso é caro e escasso. Com CGNAT (também chamado de NAT444), o provedor faz uma segunda camada de NAT: vários clientes saem pra internet compartilhando o mesmo IP público, cada um identificado por uma faixa de portas. O cliente continua com internet normal — ele só não tem mais um IP público exclusivo.
Use a faixa 100.64.0.0/10 (não o 10.x)
A RFC 6598 reservou o bloco 100.64.0.0/10 justamente pra CGNAT. Use ele entre o roteador do cliente e o seu concentrador, e não a faixa 10.0.0.0/8. Motivo simples: muita gente já usa 10.x e 192.168.x na rede interna de casa. Se você também usar 10.x no transporte, vai ter conflito de rota e dor de cabeça pra suportar. O 100.64/10 existe pra não colidir com nada.
O que o cliente perde — e como contornar
Atrás de CGNAT, o cliente não consegue mais:
- Abrir porta pra CFTV/DVR acessível de fora;
- Hospedar servidor ou acessar a casa por IP direto;
- Alguns jogos e aplicações P2P reclamam de NAT restrito.
As saídas: oferecer IPv6 (que resolve de vez, porque sobra endereço pra todo mundo) e manter um plano/opção de IP público dedicado pra quem precisa (custa uma taxa e sai do CGNAT). A maioria esmagadora dos clientes nem percebe que está em CGNAT.
O ponto que muita gente esquece: log é obrigação legal
No Brasil, o Marco Civil da Internet obriga o provedor a guardar registro de conexão. Com CGNAT, um IP público é usado por vários clientes ao mesmo tempo — então só o IP não identifica ninguém. Você precisa logar a tradução: qual cliente usou qual IP público, em qual faixa de portas, em qual horário. Se chega um ofício e você não consegue apontar o assinante, o problema vira seu. Esse log é inegociável numa operação de CGNAT séria.
Onde a gente resolve isso
Montar CGNAT no braço até dá — mas guardar o log de tradução com eficiência, consultar rápido quando chega ofício e escalar sem estourar o equipamento é outra história. O NATVault foi feito pra isso: cuida do CGNAT e guarda o registro de tradução pronto pra atender exigência legal, sem você virar refém de um logbook improvisado.
A saída definitiva chama IPv6
CGNAT é ponte, não destino. Quanto antes você ligar IPv6 na sua rede, menos tráfego passa pelo CGNAT e menos gente sofre com NAT restrito. O ideal é rodar os dois: IPv6 nativo pra quem tem suporte e CGNAT no IPv4 pro resto. Planeje isso desde já — seu eu do futuro agradece.