O que é CGNAT e por que você não consegue abrir portas

Publicado em 3 de setembro de 2026.

Você quer acessar a câmera de casa pelo celular, subir um servidor de Minecraft para os amigos ou ligar no computador de casa do trabalho. Entrou no roteador, liberou a porta certa, configurou tudo direitinho — e não funciona. Testa de fora da rede e nada responde.

Na esmagadora maioria dos casos no Brasil, o culpado tem nome: CGNAT. E a má notícia é que não há configuração no seu roteador capaz de resolver, porque o problema não está nele.

O que é CGNAT

CGNAT é a sigla de Carrier-Grade NAT, ou seja, o compartilhamento de endereços feito pelo provedor, e não pelo seu roteador.

A razão é simples: o IPv4, o formato de endereço usado desde sempre na internet, tem cerca de 4,3 bilhões de combinações possíveis. Parecia muito nos anos 80, mas acabou. Na América Latina, o estoque disponível para novos provedores se esgotou anos atrás. Como não há endereço público para todo mundo, os provedores passaram a colocar dezenas ou centenas de clientes atrás de um único endereço público.

Pense em um prédio com um único número na rua. As cartas que saem funcionam normalmente. Mas alguém de fora, que só conhece o número do prédio, não consegue endereçar uma carta a um apartamento específico — falta a informação de qual apartamento é o seu, e o porteiro não tem como adivinhar.

O seu roteador já faz esse tipo de tradução dentro de casa: é por isso que os aparelhos ficam com endereços tipo 192.168.0.15. Com CGNAT existe uma segunda camada, agora do lado do provedor. São duas traduções empilhadas, o que explica o outro nome da técnica: NAT444.

Como saber se você está atrás de CGNAT

O teste leva dois minutos e não precisa de programa nenhum. A ideia é comparar dois números que deveriam ser iguais — e, quando não são, você tem a resposta.

Como interpretar o resultado:

• Os dois são iguais — você tem IP público de verdade. Não há CGNAT, e o redirecionamento de portas deve funcionar.
• O roteador mostra algo entre 100.64.x.x e 100.127.x.x — é CGNAT, sem margem para dúvida. Essa faixa foi reservada oficialmente para esse uso pela norma RFC 6598, e existe justamente para os provedores compartilharem endereços.
• O roteador mostra 10.x.x.x, 172.16.x.x a 172.31.x.x ou 192.168.x.x, diferente do IP público — também é CGNAT. Alguns provedores usam faixas privadas comuns em vez da faixa oficial.

Se a sua conexão é 4G ou 5G, pode pular o teste: internet móvel no Brasil é praticamente toda em CGNAT.

O que o CGNAT impede na prática

Tudo que depende de alguém de fora iniciar a conexão até você:

• Acessar câmera IP ou DVR de fora de casa
• Hospedar servidor de jogo (Minecraft, Counter-Strike, Rust) na sua máquina
• Acesso remoto direto por RDP ou VNC, sem intermediário
• Chegar em um NAS ou servidor de arquivos doméstico pela internet
• Semear torrent de forma eficiente
• Em console, o CGNAT costuma resultar em NAT estrito (Tipo 3), o que atrapalha grupo com amigos, chat de voz e o pareamento em algumas partidas

E é por isso que liberar a porta no roteador não adianta: você abre a porta da sua casa, mas a porta que a internet enxerga fica no equipamento do provedor, e você não tem acesso a ele para dizer que aquele tráfego é seu.

Vale desfazer uma confusão comum: DDNS não resolve CGNAT. Serviços de DNS dinâmico apenas apontam um nome fácil para o seu endereço atual. Se o endereço é compartilhado com outras pessoas e você não controla as portas, o nome vai apontar para a portaria do provedor — que continua sem saber para qual apartamento entregar.

O que continua funcionando normalmente

Praticamente todo o uso cotidiano. Navegar, assistir streaming, fazer videochamada, usar aplicativo de banco, jogar online como jogador (e não como anfitrião) — nada disso é afetado, porque em todos esses casos é você quem inicia a conexão.

Serviços como WhatsApp, Zoom e Steam também funcionam, porque usam servidores intermediários e técnicas de travessia de NAT para juntar as pontas. O CGNAT só atrapalha quando você quer ser servidor, não cliente.

Como sair do CGNAT

1. Pedir um IP público ao provedor

É a solução mais direta. Ligue no suporte e peça "IP público" ou "saída do CGNAT" — vale usar esses termos, porque o atendente costuma reconhecê-los. Alguns provedores fazem de graça mediante solicitação, outros cobram uma taxa mensal, e há os que só oferecem em plano empresarial. Não custa perguntar antes de partir para alternativas mais trabalhosas.

2. Usar IPv6

Não existe CGNAT em IPv6: sobra endereço, então cada aparelho ganha o seu, roteável de verdade. Se o seu provedor já entrega IPv6, dá para expor serviços por ele — liberando o acesso no firewall do roteador, já que não há tradução a configurar. A limitação é que quem vai acessar também precisa estar em IPv6. A página inicial mostra se a sua conexão tem IPv6 ativo, e IPv4 e IPv6 explica o que muda ao usar cada um.

3. Túneis que dispensam porta aberta

Ferramentas como Cloudflare Tunnel, Tailscale, ZeroTier e ngrok resolvem o problema por outro caminho: a conexão parte de dentro da sua rede para fora, e o serviço faz a ponte. Como não exigem nenhuma porta aberta, funcionam perfeitamente atrás de CGNAT. Para acesso remoto e câmeras é, na prática, a saída mais rápida — e costuma sair de graça no uso doméstico.

4. VPN com porta liberada

Alguns serviços pagos de VPN oferecem redirecionamento de portas. Você passa a ser acessível pelo endereço da VPN, contornando o CGNAT. É uma opção quando as anteriores não servem.

Resumindo

Se o IP que aparece no seu roteador é diferente do que aparece na consulta de IP público, você está atrás de CGNAT e nenhuma configuração local vai mudar isso. O caminho é pedir IP público ao provedor, usar IPv6 ou adotar um túnel que dispense abrir portas.

E se a sua dúvida era outra — por que o seu endereço muda sozinho de tempos em tempos —, esse é um problema diferente, com outra solução: por que o meu IP muda sozinho explica o que está por trás disso e como acompanhar pelo histórico da página inicial.