CGNAT na NOS: o que é, porque existe e como “sair dele”

Achei importante reunir num só tópico a informação que fui recolhendo sobre o CGNAT, aqui no fórum e noutras fontes, para ajudar quem precise e quem queira saber mais sobre o assunto.

O que é o CGNAT?

O CGNAT (Carrier-Grade NAT) é um NAT feito pela própria operadora, por cima do NAT que os nossos routers já fazem. É uma técnica que permite a vários clientes partilharem um único endereço IPv4 público.

Com CGNAT, o router deixa de receber um IP público e passa a receber um endereço interno da rede da operadora, da gama reservada para este fim: 100.64.0.0/10 (de 100.64.0.0 a 100.127.255.255). Na prática, na NOS, se o IP público mostrado na App NOS NET começar por "100.", o CGNAT está ativo (em princípio).

Porque é que a NOS (e as outras operadoras) o usam:

Os endereços IPv4 esgotaram-se a nível mundial e hoje são um recurso escasso. Sem CGNAT, cada cliente precisa de um endereço público só para si. Com CGNAT, dezenas de clientes partilham o mesmo endereço, e a operadora distingue o tráfego de cada um através das portas.

Para a maioria dos clientes (navegar, streaming, redes sociais) a diferença nem se nota, porque todas as ligações partem de dentro para fora.

IP público vs. IP fixo: não são a mesma coisa

• Com CGNAT: o IP é partilhado com outros clientes da operadora e também pode mudar.

• IP público dinâmico: o IP é só teu, mas pode ser trocado por outro (por exemplo, ao reiniciar o router ou passado algum tempo).

• IP público fixo: o IP é só teu e é sempre o mesmo. É um serviço contratado à parte.

Ou seja: sair do CGNAT dá-te um IP público exclusivo, mas normalmente continua a ser dinâmico. A cada momento tens um único endereço só teu; o que acontece é que esse endereço pode ser trocado por outro ao longo do tempo. Se precisas de aceder sempre pelo mesmo endereço, tens duas opções:

• DDNS (DNS dinâmico): um nome (ex.: casa.exemplo.com) que é atualizado automaticamente sempre que o IP muda. Gratuito ou barato, e suficiente para a maioria dos casos.

• IP fixo: contratado à operadora, normalmente em tarifários empresariais.

Porque é que alguém quer IP público sem CGNAT?

O problema está nas ligações de fora para dentro. Mesmo que o router 4G, por exemplo, mostre a regra de port forwarding como ativa, o tráfego é travado antes de chegar, porque faltaria uma regra correspondente no equipamento CGNAT da operadora, que o cliente não controla.

Casos típicos em que isto é um problema:

• Servidor VPN em casa ou no escritório (WireGuard, OpenVPN)

• Acesso remoto a câmaras/NVR, NAS, domótica (ex.: Home Assistant)

• Alojar servidores (web, jogos, VoIP/SIP)

• Jogos online e P2P, que podem ficar com "NAT estrito" e ter problemas de ligação

• Serviços que bloqueiam por IP: como o IP é partilhado, podes herdar bloqueios causados por outros clientes

Como verificar se estás em CGNAT

1. Na App NOS NET: Mais → Router → Informações do Router → IP Público. Se começar por "100.",  em princípio, estás em CGNAT.

2. Em alternativa, compara o IP WAN mostrado no router com o IP que vês num site como o whatismyip. Se forem diferentes, há um NAT da operadora pelo meio.

Como “sair” do CGNAT na NOS

• Internet fixa (fibra): segundo a NOS, ao ativar pela App NOS NET uma funcionalidade incompatível com CGNAT (como o Port Forwarding), aparece um aviso a pedir para reiniciar o router. Depois do reinício, o router recebe um IP público sem CGNAT. Atenção: o que está documentado é a configuração feita pela app. Se configurares diretamente pela interface web do router e continuares com IP "100.", faz pela app ou contacta o apoio (aqui pelo Fórum é mais fácil).

• Internet móvel (cartão SIM): no meu caso bastou pedir à NOS que aplicassem ao cartão o perfil de rede IP Público. Fiz o pedido aqui no fórum. Via telefone foi impossível. Façam por aqui.

Espero ter ajudado, mesmo que ninguém tenha pedido :)