O que é CGNAT e por que seu IP é compartilhado com estranhos

A maior parte das conexões de internet vendidas no Brasil não entrega um endereço público exclusivo ao cliente. Dezenas ou centenas de assinantes saem para a internet pelo mesmo IP, e isso derruba acesso remoto, VPN, câmera e trava de ERP — sem que nada esteja quebrado dentro da empresa.

A história costuma começar do mesmo jeito. Uma empresa contrata um sistema de gestão que só aceita conexões vindas de endereços previamente cadastrados. O fornecedor pede uma coisa simples: informe o IP fixo do escritório. O responsável abre um site de consulta, copia o número, envia. Funciona por dois dias. Na terça-feira ninguém entra.

Quando o suporte do provedor é acionado, vem a resposta que raramente é explicada com todas as letras: aquele endereço nunca foi da empresa. Ele pertence a um equipamento do provedor, muda sozinho e, no mesmo instante em que o escritório o usava, outros clientes da mesma cidade estavam usando o mesmo número. O nome disso é CGNAT.

O que o provedor faz quando não há endereço para todo mundo

A internet foi projetada com um espaço de endereços limitado. O formato antigo, o IPv4, permite pouco mais de quatro bilhões de combinações — número que parecia infinito nos anos 1980 e virou escasso quando cada casa passou a ter roteador, celular, televisão e campainha conectados.

Esses endereços acabaram. A LACNIC, entidade que distribui blocos de IP para a América Latina e o Caribe, esgotou suas reservas de IPv4 e mantém lista de espera para quem precisa de novos blocos. Um provedor que cresce hoje não tem de onde tirar um endereço público para cada assinante novo.

A saída de engenharia foi o CGNAT, sigla para uma tradução de endereços feita na escala da operadora. Em vez de dar um endereço público a cada cliente, o provedor entrega um endereço interno, invisível para o resto da internet, e concentra centenas de assinantes atrás de um mesmo endereço público de saída. Um equipamento no meio do caminho anota quem pediu o quê e devolve cada resposta ao cliente certo. Para navegar, assistir vídeo e usar aplicativo de mensagem, funciona — e é por isso que a maioria das pessoas nunca percebeu que está nessa situação. O NIC.br publicou uma explicação sobre o que é CGNAT e como isso afeta a conexão de internet que descreve o mecanismo sem jargão.

O remédio de longo prazo é o IPv6, formato com espaço de endereços grande o bastante para dispensar o compartilhamento. O Brasil não é retardatário nisso: segundo o NIC.br, 50,4% do tráfego de internet no país já rodava em IPv6 em dezembro de 2024, e 89% dos usuários finais têm IPv6 disponível. Ainda assim, o IPv4 continua sendo o trilho de boa parte dos serviços, e nele o paliativo segue de pé.

Como descobrir, em cinco minutos, se você está atrás de CGNAT

O teste não exige técnico. Ele compara duas informações que deveriam ser a mesma coisa e, no CGNAT, não são.

A primeira é o endereço que o mundo enxerga. Abra qualquer site de consulta de IP — basta pesquisar "qual é o meu IP" — e anote o número que aparece. A segunda é o endereço que o seu roteador recebeu do provedor. Entre na interface de administração do aparelho, normalmente digitando 192.168.0.1 ou 192.168.1.1 no navegador, e procure a seção de status da conexão, onde aparece algo como "IP WAN" ou "endereço da internet".

Se os dois números forem idênticos, o endereço público é seu naquele momento. Se forem diferentes, há uma tradução acontecendo na rede do provedor e você está atrás de CGNAT. Um sinal adicional fecha o diagnóstico: quando o endereço do roteador começa com 100.64 até 100.127, ele pertence a uma faixa reservada exatamente para esse uso pelas operadoras. Endereços iniciados por 10., por 172.16 até 172.31 ou por 192.168 também são internos e apontam para o mesmo cenário.

Vale repetir o teste em outro dia. Em muitos planos, o endereço público visto de fora muda sem aviso a cada reconexão, e é esse comportamento que transforma qualquer cadastro de IP em trabalho perdido.

O que quebra na rotina de uma empresa

O CGNAT não derruba a navegação. Ele derruba aquilo que depende de alguém de fora conseguir chegar até você, ou de um sistema reconhecer de onde você está vindo. Na prática, essa é a lista de problemas que mais aparece:

• Sistemas com lista de IPs autorizados. Bancos corporativos, folhas de pagamento, sistemas fiscais e painéis administrativos que só aceitam endereços cadastrados param de funcionar assim que o endereço muda — e, no sentido inverso, passam a enxergar como conhecido qualquer outro cliente do provedor que saia pelo mesmo número.
• Câmeras e gravadores acessíveis de fora. A instalação de segurança funciona dentro da loja e some quando o dono tenta ver a imagem pelo celular na rua. O aparelho não tem um endereço público para receber a conexão.
• VPN da empresa. Conexões que precisam ser iniciadas de fora para dentro, ou que dependem de portas abertas no roteador, esbarram no mesmo muro: não há como redirecionar uma porta num endereço que pertence ao provedor e é dividido com desconhecidos.
• ERP e sistemas com trava por origem. Softwares de gestão que bloqueiam acesso vindo de fora da faixa esperada passam a exigir liberação manual toda semana, e quem cuida de TI vira despachante de endereço.
• Trabalho remoto. O problema se multiplica quando parte da equipe acessa de casa. O IBGE registrou 7,9% dos trabalhadores em home office em 2024, cerca de 6,6 milhões de pessoas, quase todas em conexões residenciais sujeitas ao mesmo compartilhamento.

As três saídas, e o que muda em cada uma

A primeira é pedir IP fixo ao provedor. Nem todos oferecem, o preço varia de cidade para cidade e, em plano residencial, o pedido costuma ser recusado. Ainda assim vale a ligação: quando existe, é a solução mais simples, e o endereço passa a ser do contrato.

A segunda é migrar para um link empresarial dedicado. Resolve o problema por completo e traz garantias de atendimento, mas muda a ordem de grandeza da conta, envolve contrato de fidelidade e obra de instalação — decisão que raramente se justifica quando o único incômodo é a falta de um endereço estável.

A terceira, mais recente, é contratar o endereço à parte, sem mexer no link que já está instalado. Provedores especializados vendem endereços avulsos que a empresa usa apenas nas conexões que precisam de origem estável, deixando o resto do tráfego no acesso comum. No mercado brasileiro, contratar a ferramenta gratuita que mostra o IP da sua conexão sai a R$ 30 por IP ao mês na ProxyBox, com teste de sete dias por R$ 12,90, pagamento via PIX e sem fidelidade. É a rota que costuma fazer sentido para quem precisa cadastrar um endereço em três ou quatro sistemas e não quer trocar de operadora por causa disso.

Escolher entre as três depende de uma pergunta anterior: quantos serviços realmente exigem origem fixa. Quem depende de câmera, VPN e servidor acessível de fora ao mesmo tempo precisa avaliar o link empresarial, porque nesses casos o gargalo não é só o endereço.

A reputação que você não construiu

Trocar o endereço resolve o acesso. Resolve também um problema menos visível, e mais difícil de diagnosticar: endereço compartilhado significa reputação compartilhada.

Serviços na internet avaliam risco olhando, entre outras coisas, de qual endereço a conexão veio e o que já foi feito a partir dali. Se um dos assinantes que dividem o número com a sua empresa faz varredura automatizada, dispara mensagem em massa ou tenta senha em série, o histórico entra na conta de todos.

O sintoma chega disfarçado. CAPTCHA que aparece em toda busca, site que pede verificação repetida, banco que exige confirmação extra a cada acesso, conta sinalizada sem motivo aparente. O Google descreve em sua política oficial de dados de localização que usa o endereço IP para inferir a área geral do usuário e entregar resultados relevantes — e é a mesma informação que detecta um login em outra cidade. Quando o endereço é de um equipamento do provedor que atende meio bairro, essa leitura fica imprecisa e o serviço tende a desconfiar.

Um ponto precisa ficar claro, porque costuma ser vendido errado: separar o endereço de saída não contorna regra de plataforma. Conta que viola política de uso cai com IP dedicado ou sem ele. O que a separação resolve é impedir que o comportamento de terceiros, que a empresa não controla nem conhece, contamine a própria operação.

O IPv6 resolve? Só em parte

A resposta honesta é que o CGNAT não vai embora tão cedo. Ele existe porque não há IPv4 para todos, e a migração para IPv6 avança sem eliminar a dependência do formato antigo: enquanto houver sistema legado ou fornecedor que só fala IPv4, a conexão precisa passar pelo paliativo. Uma empresa pode ter IPv6 funcionando e continuar compartilhando endereço IPv4 com desconhecidos na mesma hora.

Para quem toca um negócio, a conclusão prática é menos técnica do que parece. Antes de culpar o sistema, o software ou a equipe por um acesso que cai sozinho, vale gastar cinco minutos comparando o endereço que o roteador recebeu com o endereço que a internet enxerga. Se forem diferentes, o problema não está dentro da empresa — está em uma escolha de arquitetura feita na rede do provedor, e a solução passa por ter um endereço que seja de fato seu.