IP 100.64 no roteador? É CGNAT: a conta e a saída

O que é a faixa 100.64.0.0/10

O IPv4 tem poucos endereços para tanta gente. Para economizar, muitos provedores colocam vários clientes atrás de um mesmo IP público. O equipamento que faz essa tradução no provedor se chama CGN (Carrier-Grade NAT). Por isso o nome CGNAT.

Entre o roteador do cliente e o CGN do provedor existe uma rede intermediária. Ela precisa de endereços que não batam com os que o cliente usa em casa, como 192.168.0.0/16. O RFC 6598, de abril de 2012, reservou para isso o bloco 100.64.0.0/10 e chamou de Shared Address Space (espaço de endereços compartilhado).

A conta do tamanho é simples. O prefixo /10 deixa 22 bits para os endereços:

• 2 elevado a 22 = 4.194.304 endereços;
• primeiro endereço: 100.64.0.0;
• último endereço: 100.127.255.255;
• máscara: 255.192.0.0;
• wildcard: 0.63.255.255.

O detalhe que confunde: a faixa não é 100.0.0.0 a 100.255.255.255. Só o segundo número entre 64 e 127 é CGNAT. Um IP como 100.20.5.1 é um endereço público comum, de alguém na internet.

Passo 1: veja o IP WAN no roteador

Entre no painel do roteador (no exemplo, 192.168.0.1) e procure "Status", "Internet" ou "WAN". Anote o endereço que o provedor entregou. No caso, 100.87.143.20.

Esse é o número que importa. O IP da rede interna (o 192.168.0.1 do roteador, ou o 192.168.0.x dos computadores) não diz nada sobre CGNAT.

Passo 2: confira em binário se o IP cai na faixa

A máscara /10 diz que os 10 primeiros bits definem a rede. Se os 10 primeiros bits do seu IP forem iguais aos de 100.64.0.0, você está na faixa.

Olhe os 8 bits do primeiro número e os 2 primeiros do segundo. Em 100.64.0.0 e em 100.87.143.20, eles começam por 01100100.01. Em 100.128.0.1, o segundo número começa por 10, e o endereço já está fora.

A mesma conferência, feita para endereços perto das bordas:

Passo 3: compare com o IP que a internet vê

Abra um site de "qual é meu IP" num computador da rede. Ele mostra o endereço com que você sai para a internet. No caso, 203.0.113.45.

Se o IP WAN do roteador e o IP mostrado pelo site forem iguais, o roteador tem IP público e a porta aberta deveria funcionar. Se forem diferentes, há outro equipamento fazendo tradução no meio do caminho.

Passo 4: tire o diagnóstico pela faixa

Nem todo IP WAN diferente do público é CGNAT. Às vezes o problema está dentro da própria loja: a ONU ou o modem do provedor está como roteador, e o seu roteador fica atrás dele. Use esta tabela:

O duplo NAT local tem conserto na sua mão: colocar o modem do provedor em modo bridge, ou abrir a porta nos dois equipamentos. O CGNAT só o provedor resolve.

Por que a porta aberta não funciona com CGNAT

Quando você abre uma porta no roteador, ele passa a encaminhar o que chega no IP WAN para o gravador. Mas com CGNAT, nada da internet chega direto ao seu IP WAN. Quem chega a 203.0.113.45 encontra o CGN do provedor. Esse equipamento atende muitos clientes com o mesmo IP e não sabe para qual deles mandar uma conexão nova que veio de fora.

Para quem só navega, isso quase não aparece. A conexão sai da loja, o CGN anota a porta usada e devolve a resposta certa. O problema surge quando alguém de fora precisa iniciar a conexão: câmera, gravador, servidor de arquivos, acesso remoto ao computador.

Quanto um IP público aguenta quando é dividido

Cada IP tem 65.536 portas para conexões. O RFC 6888, de abril de 2013, traz os requisitos para o CGN e trata da divisão de portas entre clientes, mas não fixa quantos clientes dividem um IP. Cada provedor escolhe. Os números abaixo são exemplo.

Deixando de fora as 1.024 primeiras portas, sobram 64.512. Veja o que cada cliente recebe se o provedor repartir por igual:

Para navegar e usar e-mail, costuma bastar. Mas uma loja com muitos aparelhos abrindo conexões ao mesmo tempo pode bater no limite, e aí páginas carregam pela metade ou chamadas de vídeo caem. Se o sintoma aparece só nos horários de pico da loja, vale citar isso ao provedor.

As três saídas

1. Pedir IP público ao provedor. É a saída mais direta. Alguns provedores tiram o cliente do CGNAT a pedido; outros oferecem IP público ou fixo como serviço à parte, em planos empresariais. Pergunte o que o seu contrato inclui. Depois da mudança, confira de novo: o IP WAN do roteador precisa ficar igual ao do site.

2. Usar IPv6. Com IPv6 não há falta de endereços, e cada aparelho pode ter endereço próprio na internet. Uma rede /64, tamanho comum para uma rede local em IPv6, tem 18.446.744.073.709.551.616 endereços. O gravador precisa suportar IPv6, o provedor precisa entregar, e o celular de quem acessa de fora também precisa estar numa rede com IPv6. Em vez de abrir porta, você libera a entrada no firewall do roteador, só para o gravador e só na porta necessária.

3. Acessar pela nuvem do fabricante ou por VPN em nuvem. Muitos gravadores e câmeras têm aplicativo que conecta por um servidor do fabricante. O gravador abre a conexão de dentro para fora, o que funciona com CGNAT. A mesma ideia vale para VPNs em que os dois lados se conectam a um servidor na internet. Ative a senha forte e a atualização automática, porque o aparelho passa a falar com a internet o tempo todo.

Erros comuns

• Achar que todo IP começado por 100 é CGNAT. Só de 100.64.0.0 a 100.127.255.255. O segundo número tem de estar entre 64 e 127.
• Olhar o IP do computador em vez do IP WAN. O 192.168.0.x da rede interna é sempre privado e não prova nada.
• Usar 100.64.x.x na rede interna. O RFC 6598 reserva a faixa para o provedor. Se a sua rede interna usar o mesmo bloco, o roteador pode confundir as duas redes. Fique com as faixas do RFC 1918.
• Abrir a porta só no seu roteador quando há duplo NAT local. A conexão para no modem do provedor. Coloque o modem em bridge ou abra a porta nele também.
• Contratar IP fixo sem conferir. Teste de fora, com o celular no 4G ou 5G, depois da mudança.

Checklist rápido

1. Anote o IP WAN no painel do roteador.
2. Veja se o segundo número está entre 64 e 127, com o primeiro igual a 100.
3. Compare com o IP de um site de "qual é meu IP".
4. Se for 192.168, 10 ou 172.16 a 172.31, procure duplo NAT dentro do local antes de ligar para o provedor.
5. Se for CGNAT, peça IP público, ative o IPv6 ou use o acesso pela nuvem do fabricante.

Perguntas frequentes

Como saber se estou atrás de CGNAT?

Veja o IP WAN no roteador. Se estiver entre 100.64.0.0 e 100.127.255.255, é CGNAT. Se o IP WAN for diferente do que um site de "qual é meu IP" mostra, há tradução de endereço no caminho, mesmo que a faixa seja outra.

Quantos endereços tem a faixa 100.64.0.0/10?

4.194.304. O prefixo /10 deixa 22 bits livres, e 2 elevado a 22 dá esse total. A máscara é 255.192.0.0.

O IP 100.100.1.1 é CGNAT? E o 100.200.1.1?

O primeiro, sim: está na faixa, porque 100 fica entre 64 e 127. O segundo não está: 200 passa de 127, e o endereço é público.

CGNAT deixa a internet mais lenta?

A velocidade do plano não muda por causa do CGNAT. O que pode aparecer é falta de portas quando muitos aparelhos abrem conexões ao mesmo tempo. No exemplo de 32 clientes por IP, cada cliente teria 2.016 portas, cerca de 134 por computador numa loja com 15 máquinas.

Posso usar 100.64.0.0/10 na rede da empresa porque é grande?

Não é recomendado. A faixa é reservada para a rede do provedor, e o conflito aparece justamente quando a empresa está atrás de CGNAT. Para uma rede grande, use 10.0.0.0/8, que tem 16.777.216 endereços.

Com IPv6 eu deixo de precisar de IP público?

Para acesso de fora, sim, se o provedor entregar IPv6 e os dois lados tiverem. Uma rede /64 tem 18.446.744.073.709.551.616 endereços, então cada aparelho tem o seu. Ainda é preciso liberar a entrada no firewall do roteador.

Quer ver em binário se o IP WAN do seu roteador cai na faixa do CGNAT? Use a calculadora Converter IP para binário.