O QUE É CGNAT?

Você tenta abrir uma porta no roteador para jogar online, mas o jogo continua mostrando NAT Tipo 3 ou Strict NAT. Você configura um servidor em casa, mas ninguém de fora consegue acessar. Ou então percebe que o IP que aparece no teste de velocidade é diferente do IP que o próprio roteador mostra. Tudo isso tem um nome: CGNAT. E entender o que ele é — e por que sua operadora usa — é o primeiro passo para resolver esses problemas.

O que é CGNAT

CGNAT significa Carrier-Grade Network Address Translation — em português, Tradução de Endereço de Rede em Escala de Operadora. É uma técnica usada por provedores de internet para compartilhar um único endereço IP público entre dezenas ou até centenas de clientes ao mesmo tempo.

Para entender por que isso existe, é preciso conhecer um problema que a internet enfrenta há anos: o esgotamento dos endereços IPv4. O protocolo IPv4 — que é a base da internet desde os anos 1980 — suporta cerca de 4,3 bilhões de endereços únicos. Com bilhões de dispositivos conectados ao redor do mundo, esses endereços se esgotaram. A solução de longo prazo é o IPv6, que tem endereços praticamente ilimitados. Mas a transição é lenta e cara, e enquanto ela não se completa, as operadoras precisam de uma saída intermediária — e essa saída é o CGNAT.

Por que as operadoras usam CGNAT

A resposta curta: IPs públicos custam dinheiro e estão em falta. Cada bloco de endereços IPv4 é adquirido em leilões e pode custar entre dezenas a centenas de dólares por IP. Para uma operadora com milhões de clientes, ter um IP público por cliente seria economicamente inviável.

Com o CGNAT, uma única operadora pode atender 100 clientes usando apenas 1 IP público. Do ponto de vista dela, o problema está resolvido. Do ponto de vista do usuário, o CGNAT é quase invisível para uso cotidiano — navegação, streaming, redes sociais e e-mail funcionam perfeitamente. O problema aparece quando você precisa de conectividade de entrada: que dispositivos externos se conectem diretamente à sua rede.

No Brasil, o CGNAT é extremamente comum. Provedores regionais (ISPs menores), operadoras de 4G/LTE e até grandes operadoras em algumas cidades usam CGNAT para viabilizar a expansão da rede sem precisar comprar IPs adicionais. Se você tem internet via 4G ou 5G como conexão principal, as chances de estar atrás de CGNAT são maiores ainda.

Como funciona o NAT duplo

Em uma conexão residencial normal, o caminho dos dados é simples:

1. Seu dispositivo → Roteador (NAT privado, ex: 192.168.1.x) → IP público da sua casa → Internet

Com CGNAT, há uma camada extra:

1. Seu dispositivo → Roteador (NAT privado, ex: 192.168.1.x) → IP interno da operadora (ex: 100.64.x.x) → IP público compartilhado → Internet

Esse segundo nível de NAT é o que chamamos de NAT duplo (Double NAT). Seu roteador faz a primeira tradução; o equipamento CGNAT da operadora faz a segunda. O resultado é que o IP que o mundo vê como sendo seu não é exclusivamente seu — ele é compartilhado com outros assinantes do mesmo provedor.

O NAT funciona mapeando conexões de saída: quando você acessa um site, seu roteador (e depois o CGNAT) registram que essa conexão veio de você — e assim conseguem entregar a resposta corretamente. O problema é que esse mapeamento é unidirecional: conexões iniciadas de fora para dentro são bloqueadas, porque o CGNAT não sabe para qual dos centenas de clientes encaminhar a requisição.

Como saber se você está atrás de CGNAT

Existem dois métodos práticos para verificar:

Método 1: Comparar IPs

1. Acesse o Testar Minha Internet e anote o IP público exibido (ex: 187.x.x.x).
2. Acesse a interface de administração do seu roteador (geralmente 192.168.1.1 ou 192.168.0.1).
3. Procure a seção Status WAN, Internet ou Conexão e anote o IP que aparece lá.
4. Se os dois IPs forem diferentes — e o IP do roteador começar com 10., 100.64. ou 172.16-31. — você está atrás de CGNAT.

Método 2: Teste de port forwarding

Configure uma regra de port forwarding no seu roteador (qualquer porta, ex: TCP 8080) e tente acessar de fora da sua rede (usando dados móveis no celular). Se a porta não estiver acessível mesmo configurada corretamente, CGNAT é o suspeito principal — junto com firewall do Windows ou configuração incorreta da porta.

Impacto nos jogos online

Este é o ponto em que o CGNAT causa mais frustração. O impacto varia muito dependendo do jogo:

Jogos com servidores dedicados: sem problema

A grande maioria dos jogos modernos — CS2, Valorant, League of Legends, Fortnite, Call of Duty — usa servidores dedicados. Você se conecta ao servidor do jogo (uma conexão de saída, que o CGNAT permite), joga normalmente e recebe a resposta. Nesses casos, o CGNAT não interfere. O ping alto que você sente pode ter outras causas — distância do servidor, Wi-Fi, congestionamento da operadora — mas não é culpa do CGNAT.

Jogos peer-to-peer (P2P): problemas sérios

Alguns jogos estabelecem conexões diretas entre jogadores, sem passar por um servidor central. É aí que o CGNAT complica:

• GTA Online: usa P2P para sessões de free roam. Com CGNAT, o lobby pode demorar para encontrar outros jogadores, e você frequentemente fica sozinho.
• FIFA / EA FC: partidas online usam servidores dedicados na maioria dos modos, mas conexões diretas aparecem em alguns contextos.
• Minecraft: hospedar um servidor para amigos requer porta aberta — impossível com CGNAT sem alternativas como o ngrok.
• Consoles (PS5, Xbox Series): o tipo de NAT exibido nas configurações de rede fica como Tipo 3 (PlayStation) ou Strict (Xbox), o que limita com quem você pode jogar.

Para resolver o NAT Tipo 3 sem sair do CGNAT, a única alternativa sem pagar por IP público é usar um serviço de relay como Tailscale (gratuito para uso pessoal) ou tentar que a operadora habilite UPnP no seu segmento.

Impacto em VPNs e acesso remoto

Se você usa VPN para trabalho ou privacidade, o CGNAT raramente é problema: a VPN faz uma conexão de saída para o servidor VPN, e o CGNAT deixa essa conexão passar normalmente.

O problema aparece quando você tenta hospedar um servidor VPN em casa — por exemplo, para acessar sua rede doméstica de fora. Nesse cenário, dispositivos externos precisam se conectar até você, e o CGNAT bloqueia esse tráfego de entrada.

Soluções que contornam o CGNAT sem precisar de IP público:

• Tailscale: cria uma rede mesh criptografada usando conexões de saída de ambos os lados. Funciona perfeitamente atrás de CGNAT e é gratuito para uso pessoal.
• ZeroTier: similar ao Tailscale, com foco em redes mais complexas.
• Cloudflare Tunnel: ideal para expor aplicações web sem abrir portas.
• ngrok: túnel público temporário, útil para desenvolvimento e testes.

Câmeras e servidores domésticos

Câmeras de segurança modernas contornam o CGNAT usando relay em nuvem: a câmera se conecta de saída para um servidor da fabricante, e você assiste ao vídeo por esse servidor. Marcas como Intelbras, Hikvision, TP-Link Tapo e Google Nest usam esse modelo — nenhuma delas exige porta aberta, então funcionam atrás de CGNAT.

O problema só aparece se você tentar configurar câmeras mais antigas pelo método tradicional de DDNS + port forwarding. Nesse caso, a porta não vai abrir externamente — o CGNAT bloqueia. A solução é migrar para câmeras com suporte a nuvem, ou usar o Tailscale para acesso direto.

Para servidores domésticos (site pessoal, servidor de jogos, NAS), o CGNAT é uma barreira real. Sem IP público, não é possível fazer port forwarding convencional. As alternativas são: solicitar IP público à operadora, usar um VPS barato na nuvem para relay, ou usar o Cloudflare Tunnel.

O que fazer: suas opções práticas

Dependendo do quanto o CGNAT te atrapalha, você tem caminhos diferentes:

1. Solicitar IP público à operadora

A solução definitiva. Ligue para a operadora e solicite um IP público dedicado (também chamado de IP fixo). Muitas operadoras oferecem isso como serviço adicional — o custo varia de gratuito (em algumas fibras) a R$ 30–80/mês. Com IP público, você sai do CGNAT completamente e tem NAT Tipo 2/Moderate nos consoles.

Atenção: IP fixo não é o mesmo que sair do CGNAT. Exija explicitamente que o IP WAN do roteador seja um endereço público roteável, não um endereço da faixa 100.64.x.x.

2. Usar Tailscale ou ZeroTier (gratuito)

Para acesso remoto e câmeras de segurança, o Tailscale resolve sem custo. Não resolve o NAT Tipo 3 em consoles, mas cobre a maioria dos outros casos de uso.

3. Ativar IPv6

Verifique se sua operadora oferece IPv6. Se oferecer, ative no roteador — dispositivos com IPv6 têm endereços públicos únicos e não passam pelo CGNAT. Isso não resolve o problema para tráfego IPv4, mas cada vez mais serviços suportam IPv6 nativamente.

4. Reclamar na ANATEL

Se o CGNAT está causando problemas comprovados de qualidade de serviço e a operadora se recusa a oferecer alternativa, você pode registrar uma reclamação formal. Saiba como fazer isso no guia sobre como reclamar da internet na ANATEL. A regulamentação ainda não proíbe o CGNAT, mas a operadora é obrigada a garantir qualidade de serviço adequada.

Perguntas frequentes

Escrito por Rafael Almeida · Editor Técnico

Rafael é responsável pela curadoria, redação e revisão dos guias do Testar Minha Internet. Trabalha com base nos dados reais de medições da nossa ferramenta e em fontes oficiais como Anatel e IBGE.