--- title: "O que é NAT e port forwarding: hospedar em casa e por que falha" description: "Entenda NAT, IP privado e público e como abrir portas no roteador para hospedar algo em casa. Veja por que o CGNAT impede e quando uma VPS resolve melhor." url: "https://streethosting.com.br/guias/infraestrutura/o-que-e-nat-port-forwarding" category: "infraestrutura" slug: "o-que-e-nat-port-forwarding" datePublished: "2026-11-13" dateModified: "2026-11-13" author: "Equipe StreetHosting" difficulty: "intermediario" language: "pt-BR" keywords: - "o que e nat port forwarding" - "redirecionamento de portas roteador" - "ip privado e ip publico" - "porta nao abre cgnat" - "upnp riscos seguranca" - "hospedar servidor em casa" --- # NAT e redirecionamento de portas: como funciona e por que não abre atrás de CGNAT Todo aparelho da sua casa sai para a internet com o mesmo IP público, graças ao NAT. Para alguém de fora chegar até um deles, é preciso redirecionar uma porta no roteador, e isso só funciona se o IP do seu roteador for realmente público. > **Resposta rápida** > > **NAT** (Network Address Translation) é a tradução que o roteador faz para que todos os aparelhos da sua casa, cada um com IP privado, saiam para a internet com um único IP público. Quem está fora não consegue iniciar conexão com um aparelho interno, a não ser que você crie uma regra de **port forwarding**, o redirecionamento de uma porta do roteador para um IP e uma porta da rede interna. Isso só funciona se o IP da WAN do roteador for público. Atrás de CGNAT, o provedor compartilha um IP público entre vários clientes e nenhuma regra no seu roteador resolve. ## IP privado e IP público Um IP público é um endereço roteável na internet inteira: qualquer máquina do mundo consegue enviar um pacote para ele. Um IP privado só tem sentido dentro de uma rede local. Existem faixas reservadas para isso, que nunca são anunciadas na internet e por isso podem se repetir em milhões de casas ao mesmo tempo: | Faixa | Quantidade de endereços | Onde costuma aparecer | | --- | --- | --- | | 10.0.0.0 a 10.255.255.255 | Cerca de 16,7 milhões | Redes de empresas e de provedores | | 172.16.0.0 a 172.31.255.255 | Cerca de 1 milhão | Docker e redes internas | | 192.168.0.0 a 192.168.255.255 | 65.536 | Roteadores domésticos, como 192.168.0.1 e 192.168.1.1 | | 100.64.0.0 a 100.127.255.255 | Cerca de 4 milhões | Faixa de CGNAT dos provedores | Quando você abre o celular na rede sem fio de casa, ele recebe algo como `192.168.0.25`. Esse número só vale dentro da sua rede. Para a internet, todos os aparelhos da casa aparecem com o IP público do roteador. Como a faixa privada se repete em todo lugar, é impossível alguém de fora endereçar um aparelho seu pelo IP privado: o pacote não sabe de qual casa você está falando. Um servidor em um datacenter funciona de outro jeito. A máquina recebe um IPv4 público próprio, sem roteador doméstico no meio, e fica alcançável diretamente. A diferença entre os formatos de endereço está em [IPv4 e IPv6 em servidores](https://streethosting.com.br/guias/infraestrutura/o-que-e-ipv4-ipv6-servidor-jogos). ## Como o NAT funciona O tipo de NAT usado em casa troca o IP e também a porta de origem. Por isso também se chama NAPT ou PAT. O caminho de uma conexão de saída é este: 1. O seu computador (192.168.0.25) abre uma conexão para um site, usando uma porta de origem qualquer, digamos 51000. 2. O roteador troca o endereço de origem pelo IP público dele, escolhe uma porta própria, como 40001, e anota em uma tabela: porta 40001 corresponde ao computador 192.168.0.25, porta 51000. 3. O site responde para o IP público do roteador, na porta 40001. 4. O roteador consulta a tabela, descobre o dono daquela conexão, desfaz a troca e entrega o pacote ao computador. O detalhe que importa: a entrada na tabela nasce quando o aparelho de dentro começa a conversa. Um pacote que chega de fora sem ninguém ter pedido não encontra linha nenhuma, e o roteador o descarta. É exatamente por isso que o NAT funciona como uma proteção involuntária, e também por isso ele impede você de hospedar algo. Sem a linha na tabela, o roteador não sabe para qual aparelho entregar uma visita que chega na porta 80, por exemplo. > **Dica** > > O NAT não é um firewall de verdade. Ele esconde os aparelhos como efeito colateral, mas não inspeciona o conteúdo nem aplica regras. Se você redireciona uma porta, o serviço por trás dela fica tão exposto quanto em qualquer servidor público. ## Redirecionar uma porta no roteador O redirecionamento de portas (port forwarding) é a regra manual que cria a linha da tabela antes de alguém pedir: tudo o que chegar ao IP público na porta X vai para o aparelho Y na porta Z. Os nomes mudam de roteador para roteador. Procure por Redirecionamento de portas, Servidores virtuais, Port Forwarding ou NAT, geralmente no menu de rede avançada. 1. **Fixe o IP do aparelho.** Na tela de DHCP do roteador, faça uma reserva de endereço para o computador que vai receber as conexões. Se o IP interno mudar depois de um reinício, a regra passa a apontar para o aparelho errado. 2. **Crie a regra.** Informe a porta externa (a que o mundo vai usar), o IP interno do aparelho, a porta interna (a que o programa escuta) e o protocolo, TCP, UDP ou os dois. Em geral as duas portas são iguais. 3. **Confirme que o programa escuta na porta.** No Linux, o comando `ss -tlnp` lista as portas TCP em escuta. No Windows, use `netstat -ano | findstr :8080`. 4. **Libere no firewall do aparelho.** O firewall do Windows ou o UFW do Linux também precisam aceitar a porta, senão o pacote chega até a máquina e é descartado lá. 5. **Teste de fora da sua rede.** Desligue o wifi do celular e acesse pelo 4G ou 5G, ou peça a um amigo. Testar de dentro de casa engana: muitos roteadores não sabem devolver para dentro o pacote que saiu para o IP público (o chamado NAT loopback), e a porta parece fechada mesmo estando certa. Dois comandos ajudam a conferir o resultado. O primeiro mostra o IP público que a internet vê, e o segundo testa uma porta TCP de uma máquina que está fora da sua rede, como uma VPS: ``` # IP público visto pela internet (Linux, macOS ou Windows 10 e 11; # no PowerShell, digite curl.exe no lugar de curl) curl -4 ifconfig.me # de uma máquina fora da sua rede, testa a porta 8080 do seu IP público nc -vz SEU_IP_PUBLICO 8080 ``` Se você prefere um teste mais simples, o guia de [como verificar se uma porta está aberta](https://streethosting.com.br/guias/infraestrutura/verificar-porta-aberta-servidor) mostra as formas de testar e como interpretar cada resposta, fechada, filtrada ou aberta. Outro problema comum é o IP público dinâmico. A maioria dos planos residenciais troca o IP de tempos em tempos, e o endereço que você passou aos amigos deixa de funcionar. Um serviço de DNS dinâmico atualiza um nome com o IP atual, mas continua exigindo que o IP seja realmente público, e é aí que a próxima seção entra. ## Por que não funciona atrás de CGNAT Há provedores que, para economizar IPv4, colocam vários clientes atrás de um único IP público. É o CGNAT (Carrier Grade NAT): o seu roteador faz um NAT, e o provedor faz outro por cima. A tabela do segundo NAT é do provedor, não sua. Nenhuma regra criada no seu roteador alcança essa tabela, então a porta nunca abre, não importa o quanto você confira a configuração. O teste leva um minuto. Na tela de status do roteador, olhe o IP da WAN, e compare com o que o `curl -4 ifconfig.me` mostra: - **Os dois são iguais:** o roteador tem IP público. Se a porta não abre, o problema está na regra, no firewall ou no programa. - **São diferentes:** existe um NAT na frente do seu roteador, e o IP da WAN costuma cair em 100.64.0.0 a 100.127.255.255 ou em outra faixa privada. Isso é CGNAT, ou um segundo roteador seu em cascata. Antes de culpar o provedor, descarte o NAT duplo dentro de casa. Se o modem do provedor e o seu roteador sem fio fazem NAT ao mesmo tempo, é preciso criar o redirecionamento nos dois, ou colocar o modem em modo bridge. O diagnóstico completo, com as saídas que funcionam (usar IPv6 ou um túnel até uma VPS), está em [o que é CGNAT e por que ele bloqueia seu servidor](https://streethosting.com.br/guias/infraestrutura/o-que-e-cgnat-servidor). ## UPnP e seus riscos UPnP (Universal Plug and Play) é um protocolo que deixa os programas da rede pedirem ao roteador, sozinhos, para abrir portas. Jogos, consoles e clientes de torrent usam isso para funcionar sem que o usuário mexa em nada. É cômodo, mas tem um preço: - **Qualquer programa da rede pode abrir uma porta.** Um aplicativo infectado ou malfeito expõe um serviço para a internet sem você ser avisado. - **Não há autenticação.** O pedido vem de dentro da rede, e o roteador confia em quem pediu. - **Falhas históricas.** A implementação de UPnP de muitos roteadores já teve vulnerabilidades graves, algumas permitindo abrir portas a partir da própria internet. > **Atenção** > > Se você hospeda algo em casa e sabe de quais portas precisa, desligue o UPnP e use só redirecionamento manual. Com ele ligado, abra a lista de mapeamentos do roteador de vez em quando e remova o que você não reconhece. Nunca deixe a interface de administração do roteador acessível pela internet. ## A VPS como alternativa Hospedar em casa significa cuidar de tudo o que está no caminho: IP dinâmico, CGNAT, roteador, energia e a banda de upload do plano residencial, que costuma ser bem menor que o download. Uma VPS elimina essa camada. Não há roteador doméstico nem NAT para você configurar: a máquina tem IPv4 público dedicado, e abrir uma porta é só liberar no firewall do sistema, como mostra o guia de [firewall UFW na VPS](https://streethosting.com.br/guias/vps/firewall-ufw-vps-ubuntu). - **Serviço público de verdade:** site, API, bot, painel ou qualquer coisa que outras pessoas precisam acessar o dia todo vai melhor em uma [VPS da StreetHosting](https://streethosting.com.br/vps). Todas ficam em São Paulo, usam KVM com acesso root, têm AntiDDoS incluso e IPv4 dedicado, e ativam em cerca de 60 segundos após Pix ou cartão aprovado. A VPS Xeon começa em R$ 26,00 por mês, com 2 vCPU, 2 GB DDR4 e 20 GB NVMe. - **Serviço que precisa ficar em casa:** se o servidor tem que continuar em casa, por exemplo um aparelho de automação, o caminho é um túnel WireGuard entre ele e a VPS. A VPS recebe as conexões de fora e as encaminha pelo túnel, e o CGNAT deixa de importar. O passo a passo da VPN está em [VPN com WireGuard na VPS](https://streethosting.com.br/guias/vps/proteger-vps-wireguard-vpn). Cada VPS tem até 5 TB de tráfego por mês, o que sobra para a maioria dos serviços de uso pessoal e de pequenas comunidades. ## Perguntas frequentes ### O que é NAT em uma frase? É a tradução de endereços que o roteador faz para que vários aparelhos com IP privado compartilhem um único IP público. Ele troca o endereço de origem de cada pacote que sai e lembra quem pediu o quê, para devolver a resposta ao aparelho certo. ### Por que abri a porta no roteador e ela continua fechada de fora? As causas mais comuns são três. O seu provedor usa CGNAT e o IP do roteador não é público. O programa não está escutando na porta ou o firewall do computador bloqueia. Ou o redirecionamento aponta para um IP interno que mudou. Teste de fora da sua rede, nunca de dentro. ### Como saber se estou atrás de CGNAT? Compare o IP que aparece como WAN na tela do roteador com o IP que um site como ifconfig.me mostra. Se forem diferentes, ou se o IP da WAN começar com 100.64 até 100.127, ou com 10, 172.16 a 172.31 ou 192.168, existe CGNAT ou outro NAT na frente do seu roteador. ### UPnP é seguro? Em uma rede doméstica comum ele é conveniente, mas deixa qualquer programa da rede abrir portas sem pedir confirmação. Um aplicativo infectado pode expor um serviço sem você saber. Se você sabe quais portas precisa, prefira o redirecionamento manual e desligue o UPnP. ### Com IPv6 preciso de port forwarding? Normalmente não. No IPv6 cada aparelho costuma ter um endereço público próprio, sem NAT. O que controla o acesso de fora passa a ser o firewall do roteador, que precisa liberar a porta para o endereço do aparelho. Os endereços temporários de privacidade mudam com frequência, então libere o endereço estável do aparelho, e lembre que alguns provedores também trocam o prefixo de tempos em tempos. ## Guias relacionados - [O que é CGNAT e por que ele bloqueia seu servidor](https://streethosting.com.br/guias/infraestrutura/o-que-e-cgnat-servidor.md) - [O que são IPv4 e IPv6 e o que muda para servidores de jogos](https://streethosting.com.br/guias/infraestrutura/o-que-e-ipv4-ipv6-servidor-jogos.md) - [Como verificar se uma porta está aberta no servidor](https://streethosting.com.br/guias/infraestrutura/verificar-porta-aberta-servidor.md) - [UFW na VPS Ubuntu: regras de firewall sem perder o SSH](https://streethosting.com.br/guias/vps/firewall-ufw-vps-ubuntu.md) - [Como criar uma VPN com WireGuard na VPS para acesso privado](https://streethosting.com.br/guias/vps/proteger-vps-wireguard-vpn.md) ## Produtos citados - https://streethosting.com.br/vps ## Dados estruturados ```json [ { "@context": "https://schema.org", "@type": [ "Article", "TechArticle" ], "headline": "NAT e redirecionamento de portas: como funciona e por que não abre atrás de CGNAT", "name": "O que é NAT e port forwarding: hospedar em casa e por que falha", "abstract": "Todo aparelho da sua casa sai para a internet com o mesmo IP público, graças ao NAT. Para alguém de fora chegar até um deles, é preciso redirecionar uma porta no roteador, e isso só funciona se o IP do seu roteador for realmente público.", "description": "Entenda NAT, IP privado e público e como abrir portas no roteador para hospedar algo em casa. Veja por que o CGNAT impede e quando uma VPS resolve melhor.", "datePublished": "2026-11-13", "dateModified": "2026-11-13", "author": { "@type": "Organization", "name": "Equipe StreetHosting" }, "publisher": { "@type": "Organization", "name": "StreetHosting", "url": "https://streethosting.com.br" }, "inLanguage": "pt-BR", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://streethosting.com.br/guias/infraestrutura/o-que-e-nat-port-forwarding" } }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "O que é NAT em uma frase?", "acceptedAnswer": { "@type": "Answer", "text": "É a tradução de endereços que o roteador faz para que vários aparelhos com IP privado compartilhem um único IP público. Ele troca o endereço de origem de cada pacote que sai e lembra quem pediu o quê, para devolver a resposta ao aparelho certo." } }, { "@type": "Question", "name": "Por que abri a porta no roteador e ela continua fechada de fora?", "acceptedAnswer": { "@type": "Answer", "text": "As causas mais comuns são três. O seu provedor usa CGNAT e o IP do roteador não é público. O programa não está escutando na porta ou o firewall do computador bloqueia. Ou o redirecionamento aponta para um IP interno que mudou. Teste de fora da sua rede, nunca de dentro." } }, { "@type": "Question", "name": "Como saber se estou atrás de CGNAT?", "acceptedAnswer": { "@type": "Answer", "text": "Compare o IP que aparece como WAN na tela do roteador com o IP que um site como ifconfig.me mostra. Se forem diferentes, ou se o IP da WAN começar com 100.64 até 100.127, ou com 10, 172.16 a 172.31 ou 192.168, existe CGNAT ou outro NAT na frente do seu roteador." } }, { "@type": "Question", "name": "UPnP é seguro?", "acceptedAnswer": { "@type": "Answer", "text": "Em uma rede doméstica comum ele é conveniente, mas deixa qualquer programa da rede abrir portas sem pedir confirmação. Um aplicativo infectado pode expor um serviço sem você saber. Se você sabe quais portas precisa, prefira o redirecionamento manual e desligue o UPnP." } }, { "@type": "Question", "name": "Com IPv6 preciso de port forwarding?", "acceptedAnswer": { "@type": "Answer", "text": "Normalmente não. No IPv6 cada aparelho costuma ter um endereço público próprio, sem NAT. O que controla o acesso de fora passa a ser o firewall do roteador, que precisa liberar a porta para o endereço do aparelho. Os endereços temporários de privacidade mudam com frequência, então libere o endereço estável do aparelho, e lembre que alguns provedores também trocam o prefixo de tempos em tempos." } } ] } ] ```