CGNAT: o que é e como saber se seu IP é compartilhado

CGNAT (Carrier-Grade NAT, ou NAT de operadora) é a técnica em que o provedor coloca vários clientes atrás de um mesmo endereço IPv4 público. Você navega, assiste a vídeos e joga normalmente, mas a sua conexão deixa de receber conexões vindas de fora: abrir portas no roteador não funciona, e câmeras, DVRs e servidores caseiros deixam de ser acessíveis diretamente pelo IPv4.

Para saber se é o seu caso, compare o IP que aparece na WAN do roteador com o seu IP público. Se o da WAN estiver entre 100.64.0.0 e 100.127.255.255, você está atrás de CGNAT. O teste de CGNAT faz essa comparação em segundos.

Como o CGNAT funciona

Em uma conexão comum, o roteador da sua casa já faz NAT (tradução de endereços): celular, notebook e TV usam endereços privados, como 192.168.0.10, e saem para a internet com um único IP público, o da sua linha (veja IP público vs IP privado).

Com CGNAT, existe uma segunda tradução, feita por um equipamento dentro da rede do provedor. O seu roteador recebe um endereço interno da operadora, e é o equipamento de CGNAT que o troca por um IPv4 público dividido com outros clientes; do lado de fora, o que separa um cliente do outro são as portas de cada conexão. Por isso o arranjo também é chamado de NAT444: são três camadas de endereços IPv4, a da casa, a da operadora e a da internet.

O ponto crucial está no caminho inverso. Uma conexão que nasce lá fora, como alguém abrindo a sua câmera, chega ao IP compartilhado sem entrada correspondente na tabela do CGNAT, e o equipamento descarta o pacote. Como ele é da operadora, nenhuma configuração no seu roteador muda isso.

Por que as operadoras usam CGNAT

O IPv4 tem cerca de 4,3 bilhões de endereços, muito menos do que os aparelhos conectados hoje. Na América Latina, o LACNIC anunciou em 19 de agosto de 2020 que tinha reservado o último bloco IPv4 do seu estoque; desde então, novos endereços vêm de blocos devolvidos, distribuídos por fila de espera, ou de transferências entre empresas. Colocar várias linhas atrás de cada IPv4 público é a forma de as operadoras continuarem crescendo enquanto o IPv6 não substitui o protocolo antigo. Nas redes móveis, o compartilhamento é praticamente a regra; na banda larga fixa, depende da operadora, da cidade, da tecnologia e até da data de instalação.

A faixa 100.64.0.0/10

Para numerar a rede entre os roteadores dos clientes e o equipamento de CGNAT, a IETF reservou em abril de 2012, pela RFC 6598, a faixa 100.64.0.0/10, chamada de espaço de endereços compartilhado. Ela vai de 100.64.0.0 a 100.127.255.255, soma 4.194.304 endereços e não pode circular fora da rede de cada provedor. Ter uma faixa própria evita conflito com as redes privadas das casas (192.168.x.x, 10.x.x.x e 172.16.x.x a 172.31.x.x), que poderiam se repetir dos dois lados do roteador.

Há provedores que usam endereços privados, quase sempre 10.x.x.x, no lugar da 100.64. E na variação chamada DS-Lite, em que o IPv4 viaja num túnel IPv6 até a operadora, o roteador costuma mostrar um endereço 192.0.0.x (RFC 6333 e RFC 7335). O efeito prático é o mesmo: o IPv4 público não é só seu.

Como saber se você está atrás de CGNAT

O teste confiável compara o IP público, que os sites enxergam, com o IP que o roteador recebeu do provedor na WAN.

Sem acesso ao roteador, rode tracert -d -h 5 8.8.8.8 no Prompt de Comando do Windows (no macOS ou no Linux, traceroute -n -m 5 8.8.8.8). Um salto em 100.64.x.x a 100.127.x.x logo depois do seu roteador sugere CGNAT, mas é só indício: alguns provedores usam essas faixas em equipamentos internos mesmo quando o cliente tem IP público. Outros comandos estão em comandos de rede do CMD.

NAT duplo não é CGNAT

Quando a WAN do seu roteador mostra 192.168.x.x, o mais comum é que a ONT ou o modem da operadora esteja roteando e o seu roteador fique atrás dele. Isso tem solução dentro de casa: colocar a ONT em modo bridge, para o seu roteador fazer a conexão PPPoE, ou apontar a DMZ da ONT para o seu roteador. Depois, repita o teste; se a WAN mostrar 100.64.x.x, você tem os dois problemas ao mesmo tempo.

CGNAT na Vivo, Claro, TIM, Nio e provedores regionais

Nenhuma das grandes operadoras publica uma política clara sobre CGNAT na banda larga residencial, e os relatos de clientes variam conforme a cidade, a tecnologia e a época da instalação; o jeito seguro de saber é testar a sua linha. O que elas documentam, nas páginas consultadas em outubro de 2026, é a oferta de IP fixo e os canais de atendimento:

Modelos de roteador e caminhos de menu estão nas páginas de Vivo Fibra, Claro, TIM Ultrafibra e Nio, no guia de operadoras, e o caso da internet via satélite está em IP na Starlink.

O que o CGNAT bloqueia e o que continua funcionando

Há dois efeitos menos óbvios. O primeiro é o limite de portas: a RFC 6888, que lista os requisitos dos equipamentos de CGNAT, exige que eles permitam limitar quantas portas cada cliente usa, e programas que abrem muitas conexões ao mesmo tempo podem esbarrar nesse teto. A Starlink, por exemplo, avisa que o seu CGNAT tem limite de sessões simultâneas. O segundo é a reputação compartilhada: se outro cliente do mesmo IPv4 público faz algo suspeito, sites podem exibir CAPTCHAs ou bloquear o endereço para todos. A consulta de blacklist mostra se o seu IP aparece em listas de bloqueio.

A velocidade, em geral, não muda; lentidão e ping alto costumam ter outras causas. Para o NAT dos consoles, leia NAT estrito: como resolver.

O CGNAT deixa você anônimo?

Não. O Marco Civil da Internet (Lei 12.965/2014) obriga o provedor de conexão a guardar os registros de conexão por um ano (art. 13), e sites e aplicativos operados por empresas guardam os registros de acesso por seis meses (art. 15). Com IP compartilhado, identificar alguém exige também a porta de origem e o horário exato. Por isso a RFC 6302 recomenda aos servidores registrar, além do IP, a porta de origem e um horário preciso, de preferência em UTC, e a RFC 7422 descreve um modelo em que cada cliente recebe uma faixa fixa de portas, o que facilita cruzar os registros.

Pelo Marco Civil, esses registros só são entregues com ordem judicial; autoridades competentes podem requisitar sem ela apenas dados cadastrais, como nome e endereço. Veja também o que o provedor sabe sobre o que você acessa.

Como sair do CGNAT

Como o CGNAT fica na operadora, não há opção no roteador para desligá-lo. As saídas, da mais simples para a mais trabalhosa:

1. Peça um IP público à operadora

No atendimento, peça com essas palavras para retirar a sua linha do CGNAT e receber um IPv4 público (alguns atendentes dizem IP válido ou IP real). Explique o motivo, como câmeras ou servidor de jogo, e anote o protocolo. Há operadoras que fazem a troca sem custo, outras que cobram à parte e outras que só oferecem IP público em planos empresariais ou com IP fixo. Depois da mudança, a WAN do roteador passa a mostrar o mesmo número do Meu IP.

2. Contrate IP fixo, se o endereço não puder mudar

Um IP público ainda pode mudar a cada reconexão. Para servidores ou sistemas que só aceitam IPs cadastrados, o IP fixo resolve; para câmeras e jogos, IP público com DNS dinâmico costuma bastar. Compare em IP fixo ou IP dinâmico.

3. Use IPv6

No IPv6 não há escassez de endereços, e cada aparelho recebe um endereço global, sem CGNAT. Segundo o APNIC Labs, cerca de 59% dos usuários no Brasil tinham IPv6 funcionando em outubro de 2026, e nos principais sistemas autônomos de Vivo (AS26599), Claro (AS28573) e TIM (AS26615) a taxa passava de 80%. Confira a sua conexão no teste de IPv6 e, se o IPv6 não aparecer, veja como ativar o IPv6.

Três cuidados: a rede de onde você vai acessar também precisa ter IPv6 (teste no celular, fora do Wi-Fi); os roteadores costumam bloquear conexões IPv6 que chegam sem terem sido pedidas, como recomenda a RFC 6092, então libere só a porta necessária, para o aparelho necessário, sem desligar o firewall; e o prefixo IPv6 residencial pode mudar, o que um DNS dinâmico com registro AAAA resolve.

4. Use serviços que funcionam por conexão de saída

Se nada disso estiver disponível, inverta o sentido da conexão: o seu aparelho se conecta a um serviço intermediário e mantém o canal aberto.

• VPN em malha, como o Tailscale: um aplicativo em cada aparelho faz com que eles se encontrem mesmo atrás de CGNAT; quando a conexão direta falha, o tráfego passa por servidores de retransmissão do serviço. É a melhor opção para acesso remoto pessoal, porque nada fica aberto na internet.
• Túneis, como o Cloudflare Tunnel: um programa no seu servidor abre uma conexão de saída até a rede do serviço, que publica sites e painéis web sem IP público nem portas abertas.
• Acesso em nuvem dos fabricantes: câmeras e DVRs com P2P ou nuvem funcionam atrás de CGNAT. Veja os cuidados em acesso remoto a câmeras e DVR.
• VPN comercial com redirecionamento de portas: poucas oferecem, e todo o tráfego passa pela empresa; VPNs comuns não resolvem o CGNAT (veja o que é VPN).