O que é CGNAT e como contorná-lo

Carrier-Grade NAT (CGNAT) é como os ISPs lidam com a exaustão de endereços IPv4. Em vez de dar a cada cliente um IP público único, o ISP coloca centenas ou milhares de assinantes atrás de um único endereço público compartilhado e traduz suas conexões em um grande roteador de nível de operadora. É a mesma ideia do NAT no seu roteador doméstico, mas um nível acima e compartilhado entre muitos lares. Para navegação comum, você nunca percebe — as conexões de saída funcionam bem. O problema é a entrada.

Como você compartilha um IP público com estranhos, você não possui verdadeiramente um endereço acessível. Você não pode abrir uma porta para sua máquina, porque o roteador do ISP, e não você, decide o que esse IP compartilhado faz com os pacotes de entrada — e ele não tem ideia de qual assinante uma conexão de entrada aleatória é destinada.

Há um teste rápido. Encontre seu IP público em um site de "qual é meu IP", depois olhe para o IP mostrado na página de status WAN do seu roteador. Se eles diferirem — seu roteador acha que seu IP WAN é privado enquanto o mundo vê um diferente — você está atrás do CGNAT. Um sinal claro é um endereço WAN na faixa 100.64.0.0/10, que é reservado especificamente para CGNAT, ou um IP WAN com aparência privada (10.x, 172.16–31.x, 192.168.x) quando você esperava um público.

Os sintomas são todos de entrada: o encaminhamento de portas no seu roteador não faz nada, amigos não conseguem entrar em um jogo que você hospeda, serviços auto-hospedados são inacessíveis de fora, e o BitTorrent funciona lentamente sem pares de entrada. Tudo que você tenta hospedar falha, mesmo que tudo que você visita funcione.

Você não pode derrotar o CGNAT apenas do seu lado, porque a peça que falta — um IP público que é seu — está no ISP. As opções honestas: 1) Pergunte ao seu ISP por um IP público/estático; muitos oferecem um, às vezes por uma pequena taxa. 2) Alugue um VPS e execute seu serviço lá, ou faça um túnel para ele com WireGuard para que o IP público do VPS represente seu serviço em casa — a solução padrão para auto-hospedagem. 3) Use um IP dedicado / pessoal: um endereço reservado para você que, ao contrário de um compartilhado por CGNAT, pode realmente ser direcionado ao seu serviço e estar na lista branca.

O fio comum é o mesmo que com o encaminhamento de portas: a cura para "Eu não tenho um IP público real" é obter um que você controle. Uma saída de VPN compartilhada não fornece isso para hospedagem de entrada, mas um VPS mais um IP dedicado fornece — um endereço estável com portas que você possui. Esse é o caminho direto e honesto de "por trás do CGNAT" para "acessível".