CGNAT: um guia completo para NAT de nível de operadora [2024]

O Carrier-Grade NAT (CGNAT) permite que os ISP forneçam acesso à Internet a um grande número dos seus clientes utilizando um número limitado de endereços IP públicos. Trata-se de uma solução "temporária" para o problema do esgotamento dos endereços IPv4 e prevê-se que seja totalmente eliminada quando O IPv6 é amplamente adotado.

O CGNAT tem benefícios incríveis para os ISPs. Pode ajudá-los a poupar dinheiro em endereços IPv4 públicos e a proteger os seus pools de IP. Infelizmente, o CGNAT tem uma série de desvantagens que precisam ser consideradas. 

Nesta publicação do blogue, discutiremos os conceitos básicos do CGNAT, as suas vantagens e desvantagens e como determinar se está a utilizar o CGNAT. Também discutiremos algumas das alternativas e soluções alternativas ao CGNAT.

Isenção de responsabilidade: Este material foi desenvolvido estritamente para fins informativos. Não constitui uma aprovação de quaisquer atividades (incluindo atividades ilegais), produtos ou serviços. O usuário é o único responsável pelo cumprimento das leis aplicáveis, incluindo as leis de propriedade intelectual, quando utiliza os nossos serviços ou se baseia em qualquer informação aqui contida. Não aceitamos qualquer responsabilidade por danos resultantes da utilização dos nossos serviços ou das informações aqui contidas, seja de que forma for, exceto quando explicitamente exigido por lei.

Índice 

1. Esgotamento do IPv4: Um problema para os operadores de telecomunicações
2. Introdução ao CGNAT.
   1. NAT 101
   2. CGNAT 101 
3. Benefícios do CGNAT.
4. Desvantagens do CGNAT.
5. Alternativas e soluções alternativas ao CGNAT.
   1. Alternativas CGNAT para transportadoras (e ISPs). 
   2. Soluções alternativas do CGNAT para os utilizadores finais.
6. Determine se você (como utilizador doméstico) está atrás de um CGNAT. 
7. Perguntas Frequentes (FAQ)
8. Considerações Finais. 

1. Esgotamento do IPv4: Um problema para os operadores de telecomunicações

O IPv4 é o protocolo de ligação dominante na Internet. Há um total de 4.294.967.296 endereços IPv4 possíveis - um número que parecia muito grande quando o IPv4 foi criado pela primeira vez na década de 1980. Mas a Internet cresceu de forma inesperada desde então.

Assim, apesar deste crescimento, tem havido várias iniciativas para evitar que os endereços IPv4 se esgotem, como o CIDR, o endereçamento privado (RFC1918), NAT, adoção do IPv6 e muito mais. 

Embora estas iniciativas tenham funcionado durante algum tempo, os IPv4 oficiais já terminaram. O IANA (organização mundial que gere os endereços IPv4) já esgotou a sua reserva de IPv4, pelo que só os RIR (Registos Regionais de Internet) podem atribuir novos IPv4. E, atualmente, apenas alguns RIRs ainda têm endereços IPv4 nas suas reservas, mas já começaram a rodar o IPv4. Além disso, alguns países como a Índia e a China já estão a enfrentar escassez de endereços IPv4.

Para enfrentar estes desafios, a única solução a longo prazo é a migração total para o IPv6. Embora o IPv6 já esteja a ser utilizado em alguns países, a sua adoção em grande escala está a demorar muito tempo por várias razões.

Retenção do montante total Migração IPv6 e a alavancagem o enorme espaço IPv4 disponível que o bom e velho NAT proporciona, os operadores de telecomunicações e os fornecedores de serviços começaram a implementar uma espécie de dupla NAT em maior escala nas suas redes.

Esta solução é conhecida como Carrier Grade NAT (CGNAT) 

2. Introdução ao CGNAT. 

O Carrier-Grade NAT (CGN ou CG-NAT) começou a ser muito utilizado por volta de 2014 pelos operadores de redes móveis. Quando estes operadores se aperceberam do aumento acentuado da procura de endereços IPv4 nas redes móveis, recorreram rapidamente ao double-NAT-CGNAT. 

Para nos familiarizarmos com o Carrier-Grade NAT, é essencial passarmos em revista o NAT (a sua versão de menor escala).

a. NAT 101

Nota: Passe para a secção seguinte se já conhece as noções básicas de NAT.

A NAT é uma ferramenta de rede que permite que vários dispositivos numa LAN privada partilhem um único endereço IP público para comunicações públicas. Funciona como um intermediário que traduz endereços IP e portas entre domínios privados e públicos. O NAT é uma solução perfeita para resolver temporariamente a disponibilidade limitada de IPv4s.

Como funciona a NAT? Consulte a figura abaixo. 

1. Um "Anfitrião" com um endereço IP privado (10.0.0.1) numa rede privada pretende comunicar com um "Servidor" externo na Internet com o endereço IP público 200.100.10.1. 
2. Iniciar pedido. O "Anfitrião" inicia a comunicação com o "Servidor" externo através do Router + NAT que tem interfaces (portas) privadas e públicas. A interface de rede privada do router está na mesma rede 10.0.0.0 /8, enquanto a sua interface está configurada com um IP público (150.150.0.1). Quando o servidor Router + NAT recebe o pacote, utiliza o protocolo NAT para mapear o IP interno/fonte 10.0.0.1 com o IP externo/fonte (150.150.0.1), deixando o endereço IP de destino intacto. 
3. Receber resposta. Uma vez que o "Servidor" externo recebe o pacote, ele responde ao IP do roteador (150.150.0.1), ao invés do interno 10.0.01 (porque o "Servidor" não sabe sobre a rede privada). Quando o servidor Router + NAT recebe o pacote no seu IP externo/destino (150.150.0.1), mapeia-o novamente para o IP interno/destino 10.0.0.1, deixando o endereço IP de origem intacto. 

Algumas vantagens e inconvenientes da NAT.

Como mencionado no início desta secção, o NAT permite ter (dependendo da classe de endereços IP utilizada) milhares a milhões de IPv4s para uso privado. O NAT também sempre foi usado em redes privadas (de residências a pequenas empresas) pela segurança herdada. Além disso, a NAT também permite aos administradores de rede ou aos clientes um maior controlo e simplicidade sobre a forma como os seus dispositivos internos acedem a redes externas. 

Uma desvantagem da NAT para os operadores de telecomunicações e fornecedores de serviços é a ineficiência de guardar IPv4s. Para fornecer serviço de Internet a todos os seus clientes, precisariam de atribuir um endereço IPv4 público único à interface externa de cada Equipamento de Equipamento do Cliente (CPE).

Para evitar o problema do esgotamento do IPv4 e fornecer Internet a uma população mais vasta, restauraram a solução CGNAT.

b. CGNAT 101 

Como já foi referido, o CGNAT é um tipo de solução de rede IPv4 que fornece NAT em grande escala. De facto, é também designado por Massively Scalable NAT ou Large-Scale NAT (LSN). Os transportadores utilizam o CGNAT para configurar vários pontos finais de comunicação (CPE) com endereços IPv4 privados, a fim de os ligar à Internet através de um (ou alguns) IPv4 públicos partilhados.

Como funciona o CGNAT? 

O CGNAT funciona como o NAT tradicional (com algumas excepções). Segue as traduções normais de privado para público (e vice-versa), mas a maior diferença é que o CGNAT executa um NAT duplo para um número maior de dispositivos. 

Para uma maior clareza, consultemos o diagrama abaixo. 

(1) Rede privada do cliente

O Cliente 1, o Cliente 2 e o Cliente 3 operam as suas próprias redes IPv4 privadas ( RFC1918). Cada cliente tem o seu próprio equipamento nas instalações do cliente (CPE) em casa, que efectua a primeira NAT. Este processo de NAT envolve a tradução do RFC1918 Os endereços IP privados dos clientes para um espaço reservado de endereços IP designado para NAT de nível de transportadora (CGN). Dentro da rede privada, é atribuído ao CPE de cada utilizador um número de porta único, conhecido como atribuição de porta. Esta atribuição de porta ajuda a distinguir entre diferentes utilizadores que partilham o mesmo endereço IP público e ajuda a gerir as suas comunicações individuais.

(2) Rede privada do fornecedor: CGNAT em ação!

O CPE encaminha o tráfego de saída para a rede do ISP, onde se encontra o servidor CGNAT. O CGNAT efectua o segundo NAT utilizando o espaço reservado de endereços IP (RFC6598) 100.64.0.0/10. Substitui o IP e a porta de origem privados do tráfego de saída por um IP e uma porta públicos do seu conjunto. Além disso, para garantir que vários utilizadores que partilham o mesmo endereço IP público possam ter o seu tráfego corretamente identificado e encaminhado, o CGNAT atribui um número de porta único a cada CPE.

Nota 1: A rede do fornecedor de serviços utiliza o bloco "100.64.0.0/10" (atribuído pela IANA em 2012). Este bloco é reservado explicitamente para cenários CGNAT e não se destina a ser globalmente encaminhável na Internet pública, nem para redes privadas. Em vez disso, destina-se exclusivamente a ser utilizado na infraestrutura do fornecedor de serviços. O bloco minimiza os conflitos de endereços IP e ajuda na transição para o IPv6.

Nota 2: É importante notar que o CGNAT tem estado. Isto significa que o router CGNAT mantém uma tabela de mapeamento com as informações de estado de cada ligação, juntamente com as traduções entre endereços IP privados e públicos.    

(3) Endereços IP públicos.

A rede privada do provedor (RFC6598 ou 100.64.0.0/10) é traduzida para o endereço público 203.0.113.1. Desta forma, vários clientes partilham este IP ou um número limitado de endereços IP públicos. Neste exemplo, o endereço público 203.0.113.1 é um endereço usado para fins de ilustração e documentação.

3. Benefícios da CGNAT. 

O CGNAT surgiu como uma solução para o penoso esgotamento dos IPv4. Embora o CGNAT possa ser, por si só, uma grande vantagem para os operadores de telecomunicações e os FSI (enquanto estes adoptam o IPv6), não constitui uma solução a longo prazo.

a. Abordagem da escassez de IPv4.

O CGNAT é uma solução inovadora para enfrentar o desafio da escassez de endereços IPv4. A ideia subjacente a esta solução reside na sua capacidade de permitir que vários utilizadores (não de uma única residência ou edifício, mas de regiões inteiras) partilhem um conjunto mais pequeno de endereços públicos. Com essa solução, os ISPs e as operadoras têm mais escalabilidade. Eles podem acomodar mais clientes usando um conjunto menor de IPs públicos. O CGNAT é uma solução temporária enquanto o mundo faz a transição lenta para o IPv6.

b. Segurança reforçada

Tal como o NAT, o CGNAT proporciona uma camada adicional de segurança à ligação à Internet. Uma vez que converte IPs privados em públicos, reforça a segurança da sua ligação e do router. Isola os dispositivos de rede internos e actua como um impedimento contra o acesso não autorizado de entidades externas. Protege os dispositivos dos clientes contra potenciais ataques que possam visar um endereço IP público específico.

c. Facilita a gestão da rede. 

O CGNAT simplifica a gestão do endereçamento e atribuição de rede para a rede privada de um ISP. O único CGNAT trata da tradução dos endereços privados dos clientes para um conjunto mais pequeno de IPs públicos. Além disso, o CGNAT centraliza a gestão das atribuições de endereços. Reduz as complexidades da gestão de IPs públicos individuais para cada cliente.

4. Desvantagens do CGNAT.

O CGNAT tem uma parte significativa de inconvenientes, especialmente para o utilizador final, o cliente. 

a. Preocupações de segurança e fiabilidade da rede do cliente.

À semelhança de outras formas de NAT, o CGNAT perturba o princípio da comunicação de extremo a extremo. Este desafio envolve questões relacionadas com a segurança e a fiabilidade. O ambiente partilhado que o CGNAT proporciona significa que vários utilizadores e dispositivos utilizam o mesmo endereço IP público para comunicações na Internet. Embora, por um lado, o CGNAT crie uma espécie de cortina de fumo para os atacantes que visam dispositivos específicos dentro da rede, por outro lado, alarga a superfície de ataque. Assim, se um atacante visar um dispositivo nessa rede interna, o ataque pode afetar todos os outros que partilham o mesmo IP. Além disso, o endereço IP partilhado também pode causar "danos à reputação" de outros clientes que partilham o endereço IP. Pode levar a que seja "injustamente" bloqueado ou restringido o acesso a sítios Web se outro utilizador que partilhe o mesmo IP tiver sido banido. Se tiver sido injustamente banido, saiba como resolver o problema "o meu IP foi banido" erro.

b. Desafios para dispositivos, aplicações ou serviços que dependem da comunicação direta com a Internet.

Mais uma vez, o CGNAT interrompe a comunicação de ponta a ponta entre o dispositivo doméstico e os serviços baseados na Internet. Restringe a capacidade do cliente de aceder à sua rede doméstica a partir de fontes externas. Uma vez que o CGNAT acrescenta uma nova camada intermediária, afecta todas as ligações directas à Internet. Os clientes com uma ligação CGNAT podem esperar problemas com dispositivos, aplicações ou serviços que dependem de uma ligação direta à Internet. 

Com o CGNAT, os clientes normalmente não têm autonomia para realizar tarefas como o reencaminhamento de portas ou ligações ponto a ponto. O seu CPE é literalmente um router virtual gerido sob o controlo do operador. Sem o reencaminhamento de portas e o peer-to-peer (com IP público), os clientes terão dificuldades em configurar servidores domésticos como alojamento Web, jogos em linha, transmissão de vídeo e serviços VoIP. Além disso, os clientes não podem integrar facilmente os seus vários dispositivos ligados à Internet, como a Internet das Coisas (IoT), num ambiente doméstico (como a domótica).

c. Monitorização, investigação e rastreio do acesso e das actividades na Internet

A implementação do CGNAT pode também conduzir a uma maior complexidade na forma como as operadoras de telecomunicações e os FSI medem, monitorizam e registam o acesso. Este problema pode subsequentemente impedir investigações criminais eficazes e o controlo de actividades suspeitas. Sem uma forma de registar, acompanhar e gravar as comunicações privadas ligadas a um IP público (identificação), as autoridades policiais terão dificuldade em localizar actividades criminosas. Qualquer pessoa que utilize um IP público IPv4 partilhado pode literalmente realizar acções de cibercrime, como fraude em linha, distribuição de conteúdos ilegais, ciberbullying, envio de spam e muito mais. No entanto, embora possa ser difícil rastrear as ligações num cenário de NAT duplo, ainda é possível com a cooperação dos ISP (através da correlação de endereços IP e carimbos de data/hora). 

d. Desafios de latência. 

Um dos desafios mais significativos colocados pelo CG-NAT é a questão da latência. Este atraso inevitável tem um efeito prejudicial nas experiências dos utilizadores, especialmente quando estes dependem de aplicações em tempo real, como jogos online, transmissões em direto ou videoconferências. Ter uma camada extra de processamento de rede - o CGNAT que executa um NAT extra e encaminha o tráfego através de um IP público fragmentado, inevitavelmente introduz tempo adicional. Infelizmente, as implementações de CG-NAT causam frustração entre os clientes do ISP, especialmente os jogadores online.

5. Alternativas e soluções alternativas ao CGNAT. 

a. Alternativas do CGNAT para os transportadores (e ISP). 

Embora os operadores possam continuar a expandir o seu plano de endereçamento IPv4, reutilizando IPv4s, ou simplesmente expandindo o seu domínio CGNAT, a melhor alternativa real ao CGNAT (a nível de operador ou transportador) é IPv6. Esta versão 6 do IP resolverá, sem dúvida, o famoso problema do esgotamento do IPv4. Proporcionará acesso à Internet a um grande número de utilizadores e fará desaparecer definitivamente o NAT e o CGNAT. No entanto, o IPv6 está a demorar muito tempo a ser totalmente adotado e a fazer a transição (saiba mais em razões e vantagens da migração para o IPv6). 

b. Soluções alternativas do CGNAT para os utilizadores finais.

Como se deslocar no CGNAT? Ao nível do utilizador doméstico, existem muitas alternativas ao CGNAT que os utilizadores domésticos podem utilizar, não necessariamente para contornar o CGNAT (uma vez que este intermediário fornece acesso à Internet), mas para expor a sua rede doméstica à Internet. A única exceção (que não é uma alternativa, mas uma solução) é obter um endereço IP estático.

• Obter um IP estático
• VPN
• Túnel SSH
• Proxy SOCK5
• TOR
• DNS dinâmico

6. Como determinar se você (como utilizador doméstico) se encontra atrás de um CGNAT. 

a. Verifique o endereço IP WAN do seu router. 

Se o endereço IP da WAN do seu router estiver no intervalo de 100.64.0.0/10, é muito provável que esteja atrás do CGNAT. Como mencionado anteriormente, este intervalo de endereços IP está reservado para utilização do CGNAT. 

• Para verificar a sua WAN, inicie sessão na interface do seu router doméstico. Isto pode ser feito introduzindo o endereço IP do router (algo como 192.168.0.1 ou 192.168.1.1) no seu browser. 
• Uma vez iniciada a sessão, procure a página de estado do router e encontre o seu endereço IP WAN.

b. Utilize uma ferramenta online para verificar o seu endereço IP público. 

Existem muitos sítios de pesquisa de IP públicos gratuitos, como Whatismyip, Whatismyipaddress, ou IPChicken que pode utilizar para verificar o seu endereço IP público. 

• Se o endereço IP obtido for diferente do endereço IP da interface WAN do router, o mais provável é que esteja atrás do CGNAT. 
• Se o endereço IP que vê aqui corresponder ao endereço IP atribuído à interface WAN do seu router, então poderá não estar atrás de um CGNAT.

c. Utilize a ferramenta traceroute. 

Execute um traceroute para o seu endereço IP público. O traceroute é uma ferramenta utilitária de rede incorporada em todos os sistemas operativos comuns. Pode ser usado para ver o caminho que o seu tráfego toma para chegar ao seu destino. Se o traceroute mostrar dois ou mais saltos com IP privado repetido para o seu endereço IP público, então o mais provável é que esteja atrás do CGNAT.

Vamos simular um traceroute (sem CGNAT).  

• No exemplo anterior, não há endereços IP privados repetidos. E a progressão clara pode ser vista, do IP privado do router para o IP do router do seu ISP (2), depois para o IP do gateway do seu ISP (3) e, finalmente, para o IP público do seu ISP antes de chegar ao IP de destino. Esse padrão sugere que não há gateways CGNAT intermediários no caminho.

Vamos simular um traceroute (com o CGNAT).  

• Neste exemplo, o endereço IP privado repetido nos saltos 2, 3 e 4 pode indicar que o seu tráfego está a ser encaminhado através de uma série de gateways CGNAT internos antes de chegar ao IP público do ISP. O endereço IP privado repetido sugere que o seu tráfego está a passar por várias camadas do CGNAT antes de chegar à Internet.

Resultados reais do traceroute ao rastrear o nosso próprio IP público. 

• O primeiro salto (192.168.1.1) é o endereço IP privado do router local (RFC1918).
• O segundo salto, dois (*), não respondeu ao pedido de traceroute (provavelmente devido a firewall ou filtragem de ICMP). Este salto pode ser o IP da interface WAN do router, um dispositivo intermediário ou qualquer outro ISP ou infraestrutura CGNAT. 
• Os seguintes saltos 3 e 4 mostram a existência de uma rede privada de classe A. É provável que esses dois endereços IP privados sejam pontos de roteamento interno (dentro da mesma rede que o IP da WAN) dentro da rede do ISP. 

A partir do resultado do traceroute, podemos concluir que o tráfego está a atravessar a rede interna do ISP antes de chegar ao IP público (interface). Isto é completamente normal nas configurações de rede dos ISP e o endereço IP privado em curso não indica necessariamente a presença de um CGNAT. 

7. Perguntas frequentes (FAQ)

a. Por que razão os transportadores de telecomunicações, os operadores ou os FSI adoptariam o CGNAT?

A adoção do CGNAT está fortemente ligada à escassez de endereços IPv4. Devido ao aumento da procura de dispositivos IPv4, como os telemóveis, os operadores tiveram de adotar a NAT em maior escala. Utilizaram um NAT duplo ou CGNAT não só para pouparem espaço IPv4, mas também para continuarem a oferecer conetividade a mais dispositivos, apesar da limitação dos endereços IPv4.

b. Quais são alguns cenários populares que envolvem o CGNAT?

O operador pode utilizar o CGNAT para a utilização comum da partilha de endereços IPv4 (em redes fixas ou móveis), ou também para dual-stack lite (ou transição para IPv6). 

c. Como criar o CGNAT?

A implementação do CGNAT é uma tarefa a nível de operador ou ISP (fora do âmbito deste guia). Mas, geralmente, para configurar o CGNAT, as operadoras precisam do hardware adequado (router, switch ou servidor), da solução de software e de uma infraestrutura de rede robusta para acomodar vários utilizadores. A configuração do CGNAT (semelhante ao NAT) requer mapeamentos de portas, acompanhamento de sessões e políticas de atribuição de endereços (como a atribuição de um conjunto de IPs). 

d. O que é o NAT444? 

É um tipo de arquitetura de rede concebido para responder aos desafios colocados pela escassez de endereços IPv4 e pela transição para o IPv6. Implica a utilização de dois Network Address and Port Translators (NAPT) juntamente com três tipos de blocos de endereços IPv4 para facilitar a comunicação entre dispositivos em redes diferentes. Com o NAT4444, o tráfego de rede passa por NAT três vezes antes de chegar ao seu destino. 

e. O que é o NAT64 e qual a sua importância para o CGNAT? 

O NAT64 facilita a comunicação entre redes exclusivamente IPv6 e exclusivamente IPv4. Permite que um dispositivo apenas IPv6 comunique com um servidor apenas IPv4 através de NAT, traduzindo pacotes IPv6 para IPv4 e vice-versa. Isto é particularmente relevante no contexto do CGNAT quando a rede de um ISP utiliza predominantemente o IPv6, mas precisa de fornecer acesso a recursos IPv4.

f. Quão eficaz pode ser uma VPN como solução alternativa para o CGNAT?

Em geral, uma VPN pode ser uma solução eficaz para contornar o CGNAT. Desde que se escolha um serviço VPN fiável e de confiança, uma VPN deve contornar o CGNAT. No entanto, é sempre vital considerar as suas necessidades específicas, tais como requisitos de velocidade, preocupações com a privacidade e a capacidade de contornar o CGNAT, antes de decidir qual a VPN a utilizar como solução alternativa.

g. Como efetuar o reencaminhamento de portas por trás do CGNAT?

Realizar o reencaminhamento de portas por trás do CGNAT pode ser um desafio devido ao controlo limitado sobre o endereço IP público e a configuração da rede. Algumas soluções potenciais incluem a utilização de UPnP, se suportado, utilizando serviços de reencaminhamento de portas, ou considerando uma VPN com capacidades de reencaminhamento de portas para expor portas específicas do seu dispositivo à Internet. No entanto, a eficácia destes métodos pode variar e podem não fornecer o mesmo nível de controlo que o reencaminhamento de portas tradicional num ambiente não-CGNAT.

8. Palavras finais. 

O CGNAT é uma tecnologia controversa. Existem vantagens e desvantagens na sua implementação. Em última análise, a decisão de usar ou não o CGNAT cabe a cada ISP individual. Embora o CGNAT possa ajudar os ISPs a poupar dinheiro no espaço de endereçamento público IPv4, existem muitos inconvenientes potenciais para os utilizadores finais que os ISPs devem considerar. 

Em resumo (para os clientes): 

• Se estiver atrás de um CGNAT, não obterá o seu próprio endereço IP público para a sua rede doméstica. Isto pode afetar o desempenho de algumas aplicações e tornar mais difícil o acesso a determinados serviços online.
• Além disso, se estiver atrás de um CGNAT, poderá não conseguir alojar um servidor doméstico ou utilizar jogos online, VoIP ou partilha de ficheiros sem atrasos.
• Tente qualquer uma das soluções alternativas para contornar o CGNAT propostas neste guia. Utilizar um VPN ou proxy. Ou melhor ainda, pergunte ao seu ISP sobre quaisquer endereços públicos IPv4 estáticos disponíveis. 
  

Saltar para além do CGNAT com as soluções de aluguer IPv6 da RapidSeedbox ?

Faça parte dos poucos e beneficie em primeira mão de ligações directas e totais sobre os seus IPs com as nossas soluções IPv6. Obtenha suporte 24 horas por dia, 7 dias por semana e preços transparentes.

Oferta exclusiva de hoje: