IP público vs privado: NAT, CGNAT e o que seu IP revela

Endereços únicos vs endereços reutilizáveis

A internet inteira depende de uma regra simples: cada endereço público tem que ser único no planeta, senão o roteamento não sabe para onde mandar o pacote. Endereços privados invertem a regra de propósito. Eles não são únicos, são reutilizáveis. O mesmo 192.168.0.1 mora no roteador de milhões de casas ao mesmo tempo, e ninguém colide, porque esse número nunca sai da rede local. É essa diferença de escopo, e não de formato, que separa os dois. Ambos têm quatro octetos idênticos na aparência; o que muda é onde eles têm significado.

Vale desfazer um mito de vocabulário: um IP privado não é “inseguro” nem “ruim”, e um público não é “melhor”. São papéis. O privado existe justamente para você não gastar um endereço público global toda vez que liga uma lâmpada inteligente. Como o espaço público de IPv4 é finito e acabou, essa economia deixou de ser conveniência e virou necessidade, é o que veremos ao chegar no NAT e no CGNAT.

Quais blocos são privados, e por quê

A RFC 1918 (fevereiro de 1996) reserva três blocos para uso privado. A lógica de tê-los em três tamanhos é prática: uma multinacional usa o 10/8 gigante; uma empresa média, o 172.16/12; a sua casa, um pedacinho do 192.168/16. Somados, são 17.891.328 endereços que qualquer rede pode reaproveitar sem pedir permissão a ninguém, porque nenhum roteador da internet aceita encaminhá-los. Ao lado deles existem outros blocos que também não são endereços públicos “normais”, e reconhecê-los evita confusão na hora de diagnosticar um problema.

Link-local (169.254.0.0/16)

Endereço que o host se dá sozinho quando o DHCP falha (APIPA). Se o seu IP começa com 169.254, o roteador não te deu endereço, é um sintoma, não uma configuração.

Loopback (127.0.0.1)

O “eu mesmo” da máquina: o pacote nunca chega a passar por um cabo. Todo o /8 é loopback, não só o .0.0.1.

Documentação (TEST-NET)

Blocos reservados para exemplos (como os deste artigo), justamente para não colidir com endereços reais de ninguém.

Para planejar como recortar uma dessas faixas em sub-redes menores, quantos hosts cabem em um /26, onde ficam a rede e o broadcast, a calculadora de sub-rede faz a conta, e o guia de CIDR e sub-redes explica a máscara por trás dela.

NAT de verdade: porta, tabela de estado e o pacote nos dois sentidos

Se endereços privados não trafegam na internet, como o seu notebook abre um site? Pelo NAT (Network Address Translation), executado pelo roteador. Há duas formas. No NAT básico (1:1), um endereço privado é mapeado para um endereço público inteiro, troca de identidade, um para um. O que quase todo mundo usa, porém, é o NAPT (Network Address Port Translation), definido pela RFC 2663 e detalhado pela RFC 3022: ele multiplexa dezenas de hosts privados em um único IP público, distinguindo cada fluxo pela porta. É por isso que a rua inteira consegue navegar com um endereço só. O truque é uma tabela de estado: para cada conexão de saída, o roteador guarda quem pediu, para onde, e sob qual porta externa reescreveu o pacote.

NAT básico (1:1)

Um endereço privado ↔ um endereço público inteiro. Só traduz o IP. Precisa de um público por host que quer sair ao mesmo tempo.

NAPT / PAT (overload)

Muitos privados ↔ um público, diferenciados por porta. É o “NAT” do seu roteador doméstico. Traduz IP e porta juntos.

Tabela de estado

A memória do NAT: liga (IP:porta interno, destino) a (IP:porta externo). Sem uma entrada, um pacote de volta não sabe para quem ir.

Vamos rastrear um pacote de verdade. Seu host 192.168.0.10 escolhe uma porta de origem efêmera, 51000, e quer falar com um servidor web em 203.0.113.25:443. O IP público do roteador é 198.51.100.7 (uso apenas endereços de documentação aqui). Acompanhe a tradução na ida e na volta, e repare no último bloco: um pacote que chega sem par na tabela não tem destino e é descartado. Esse descarte é a razão técnica de conexões de entrada “não passarem”.

// Exemplo trabalhado 1, tabela NAPT do roteador e o caminho do pacote
// Worked example 1, router NAPT table and the packet path

+----------------------+----------------------+--------------------+
| Interno (LAN)        | Externo (WAN)        | Destino / Dest.    |
+----------------------+----------------------+--------------------+
| 192.168.0.10:51000   | 198.51.100.7:47000   | 203.0.113.25:443   |
+----------------------+----------------------+--------------------+

IDA / OUTBOUND
  LAN  ->  src 192.168.0.10:51000   dst 203.0.113.25:443
  (o NAT reescreve a origem / NAT rewrites the source)
  WAN  ->  src 198.51.100.7:47000   dst 203.0.113.25:443

VOLTA / RETURN  (o servidor responde para o IP:porta externo)
  WAN  <-  src 203.0.113.25:443     dst 198.51.100.7:47000
  (o NAT procura a porta 47000 na tabela / NAT looks up port 47000)
  LAN  <-  src 203.0.113.25:443     dst 192.168.0.10:51000

ENTRADA NAO SOLICITADA / UNSOLICITED INBOUND
  WAN  <-  src ????                 dst 198.51.100.7:47000
  (sem par na tabela / no matching state entry)  ->  DESCARTADO / DROPPED

O mito: “estou atrás de NAT, logo estou seguro”

O descarte que você viu acima parece proteção, e é daí que vem o mito. Se conexões de entrada não solicitadas caem, o NAT deve ser um firewall, certo? Não. O descarte é um efeito colateral de não haver mapeamento, não uma política de segurança. Ninguém no NAT decidiu “isto é malicioso, bloqueie”; simplesmente não havia para onde entregar o pacote. A distinção importa porque a mesma proteção, e melhor, existe sem NAT nenhum, e some no momento em que um mapeamento é aberto.

CGNAT: quando o seu IP “público” não é seu

O IPv4 acabou, literalmente. A IANA distribuiu os últimos cinco blocos /8 aos registros regionais em 3 de fevereiro de 2011, e desde então cada RIR foi esgotando seu estoque em datas diferentes. Sem endereços públicos para dar a cada assinante, os provedores passaram a fazer NAT em massa dentro da própria rede: o CGNAT (Carrier-Grade NAT). A RFC 6598 (abril de 2012) reservou o bloco 100.64.0.0/10 justamente para isso. O resultado: o seu roteador recebe um endereço desse bloco (ou um RFC 1918) na interface WAN, e centenas de clientes compartilham um punhado de IPs públicos de verdade lá em cima, no provedor. O “meu IP” que você vê é, na prática, alugado e dividido.

1. Fev 1996RFC 1918

   As faixas privadas são formalizadas, o primeiro paliativo para a escassez de IPv4.

2. 1999–2001NAT/NAPT padronizados

   RFC 2663 e RFC 3022 definem a terminologia e o NAT tradicional que roda no seu roteador.

3. 3 fev 2011IANA esgota o pool central

   A IANA entrega os últimos cinco /8 aos RIRs; o estoque global acaba.

4. Abr 2012RFC 6598, CGNAT

   O bloco 100.64.0.0/10 é reservado para o NAT em nível de operadora.

5. 6 jun 2012World IPv6 Launch

   Grandes sites e provedores ligam o IPv6 em definitivo, a saída real do beco sem saída.

6. 25 nov 2019A Europa (RIPE) fica sem pool

   O RIPE NCC faz a última alocação /22; só sobram transferências e listas de espera.

7. 2026IPv6 beira metade do tráfego

   O tráfego IPv6 medido pelo Google chega perto de 50%, mas o IPv4 e o CGNAT seguem firmes.

Como saber se você está atrás de CGNAT? Compare dois números. Entre no painel do roteador e veja o IP da interface WAN; suponha que apareça 100.83.14.6. Agora abra a ferramenta de “meu IP”, que reporta, digamos, 187.62.200.45. Dois sinais fecham o diagnóstico: (1) os dois números são diferentes, o que já indica outra camada de NAT acima do seu roteador; e (2) o IP da WAN, 100.83.14.6, cai dentro de 100.64.0.0 a 100.127.255.255 (o segundo octeto, 83, está entre 64 e 127), ou seja, é o espaço compartilhado da RFC 6598. Se a WAN fosse um IP público roteável e igual ao que o “meu IP” mostra, você teria um IP só seu. Não sendo, o provedor está fazendo CGNAT, e nenhum port forwarding no seu roteador resolve, porque a tradução que importa acontece acima de você.

O que um IP realmente revela sobre você

Chegamos ao medo mais comum: “então qualquer um descobre onde eu moro pelo meu IP?”. Não. A geolocalização por IP não lê um GPS; ela consulta uma base que associa blocos de endereços a locais, e esse local é o do provedor e do bloco, o ASN (número de sistema autônomo) e a alocação registrada,, não a sua rua. Um bloco inteiro do seu provedor pode ser mapeado para o centro de uma cidade ou para a sede do ISP, a centenas de quilômetros de onde você está. CGNAT e VPN pioram a imprecisão: a saída aparece no PoP (ponto de presença) do provedor ou no servidor da VPN, não perto de você. O localizador de IP mostra essa estimativa, trate-a como “região aproximada”, jamais como endereço.

Os números vêm da própria documentação de precisão da MaxMind, líder do setor: cerca de 99,8% de acerto no país, mas só ~66% de acerto de cidade dentro de um raio de 50 km nos EUA, e a empresa é explícita ao dizer que os dados “nunca são precisos o suficiente para identificar ou localizar uma residência, um indivíduo ou um endereço de rua específicos”. Ou seja: o IP entrega país, provedor e uma região grosseira. Quem realmente vaza a sua localização exata costuma ser outra coisa, os metadados EXIF de uma foto com GPS, por exemplo, apontam a casa com uma precisão que nenhum IP alcança.

• IP começando com 10, 172.16–31 ou 192.168? É privado (RFC 1918), não é o que a internet vê.
• IP da WAN em 100.64–127? Você está em CGNAT: port forwarding local não adianta.
• IP começando com 169.254? O DHCP falhou; é um sintoma, não um endereço válido.
• Precisa expor um serviço em casa? Confira se tem IP público de verdade antes de configurar portas.
• Preocupado com privacidade? O IP entrega país e provedor, não a sua rua, cuidado maior é com EXIF e logins.