CGNAT e duplo NAT: quando o encaminhamento de portas não basta (Internet)

Em algumas conexões de Internet, o roteador da empresa não recebe um endereço público, e nenhuma regra configurada no roteador faz as conexões vindas de fora chegarem. Identificar essa situação cedo evita horas de tentativas inúteis.

O que é o CGNAT

Como os endereços IPv4 públicos se esgotaram, muitos provedores não entregam um endereço público a cada cliente. Vários clientes passam a compartilhar o mesmo endereço público do provedor. Esse mecanismo se chama CGNAT, sigla em inglês para NAT em escala de operadora, e funciona como um segundo NAT, dentro da rede do provedor. Com o CGNAT, a saída de uma empresa passa por dois NATs:

1. O computador da empresa, com um endereço privado, envia o pacote ao roteador da empresa.
2. O roteador da empresa troca o endereço privado pelo endereço da porta WAN, que fica na faixa 100.64.0.0/10 e não é público.
3. O equipamento de NAT do provedor troca esse endereço pelo endereço público, compartilhado com outros clientes.

Por que o CGNAT é decisivo

Uma conexão vinda de fora chega ao equipamento de NAT do provedor e é descartada, porque não existe regra ali para encaminhá-la. Como a empresa não tem acesso a esse equipamento, a conexão nunca chega ao roteador da empresa. É possível configurar tudo corretamente no roteador e, mesmo assim, nada funcionar.

Como identificar

1. O endereço da porta WAN do roteador está na faixa 100.64.0.0/10, que vai de 100.64.0.0 a 100.127.255.255.
2. Esse endereço é diferente do endereço mostrado pelo comando curl -4 ifconfig.me.

As duas constatações juntas são praticamente conclusivas.

O que fazer

Diante do CGNAT, as alternativas são:

• solicitar ao provedor um endereço IPv4 público, o que às vezes basta pedir e às vezes é um serviço pago;
• contratar uma conexão com endereço público fixo;
• usar uma VPN iniciada a partir do lado que está atrás do CGNAT, em direção a um ponto com endereço público, o que inverte o sentido da conexão;
• usar o IPv6, quando o serviço e as duas pontas suportam essa versão.

O CGNAT não é um problema resolvido no computador nem no sistema. A solução depende do provedor de Internet ou de uma mudança na forma de conexão.

O duplo NAT

O mesmo efeito acontece com dois roteadores ligados em sequência na própria empresa, como o roteador do provedor e um roteador próprio. Nesse caso, existem dois NATs, e a regra de encaminhamento precisa existir nos dois roteadores. Outra solução é configurar o equipamento do provedor no modo bridge, em que esse equipamento apenas repassa a conexão, e deixar o NAT somente para o roteador próprio. O sinal do duplo NAT é a porta WAN do roteador interno mostrar um endereço privado, como um endereço que começa com 192.168 ou com 10.