NAT e CGNAT

Diagnóstico confiável em rede segue a ordem: evidência observada, hipótese levantada, teste executado, resultado obtido e validação documentada.

Objetivo

Explicar NAT e CGNAT no contexto de provedores e redes de clientes.

Quando aplicar

ao investigar acesso remoto que não funciona
ao configurar encaminhamento de porta
quando há duplo NAT ou CGNAT
em dúvidas sobre IP público

Conceitos essenciais

NAT traduz endereços privados para outro endereço, geralmente público.
Masquerade é forma comum de NAT de origem.
Encaminhamento de porta permite entrada para serviço interno quando há IP público.
CGNAT compartilha IPv4 público entre múltiplos clientes.
Duplo NAT pode quebrar acesso externo e alguns serviços.
NAT existe por escassez de IPv4, mas adiciona complexidade.
Em IPv6, NAT não é a solução padrão; o endereço pode ser global e a proteção deve ficar no firewall.
Em dual stack, um serviço pode estar bloqueado em IPv4 por CGNAT e ainda funcionar via IPv6 se houver rota, DNS e firewall corretos.

Como verificar em campo

identifique IP WAN do CPE
compare com IP público visto externamente
verifique regras de NAT e firewall
quando houver IPv6, confirme endereço global, rota, DNS e regra de firewall de entrada
confirme se há outro roteador antes do equipamento

Erros comuns

abrir porta sem IP público
ignorar firewall além do NAT
não documentar regra criada
confundir NAT de origem com NAT de destino
aplicar raciocínio de CGNAT IPv4 em cenário IPv6 sem validar rota e firewall

Checklist de validação

tipo de NAT identificado
IP público/CGNAT validado
regra necessária documentada
teste externo realizado
IPv6 avaliado como alternativa técnica quando disponível

Documentos relacionados

Resumo

NAT e CGNAT deve ser entendido como parte de um fluxo operacional: observar o sintoma, levantar hipótese, executar teste seguro, validar o resultado e registrar evidência antes de concluir ou escalar.