WireGuard atrás de CGNAT: porque o encaminhamento de portas falha e como resolver (2026)

Instalou o WireGuard no seu servidor de casa, abriu o UDP 51820, encaminhou a porta no router - e continua a não ligar a partir do exterior. Antes de reverificar a configuração pela décima vez, suspeite da rede: a razão mais comum para um VPN auto-alojado não ser acessível a partir da internet é o CGNAT, e nenhuma configuração do router o resolve. Eis o que é, como confirmá-lo e as soluções que funcionam mesmo.

O que é o CGNAT e porque quebra o auto-alojamento

O CGNAT (Carrier-Grade NAT) é como muitos ISP lidam com a escassez de endereços IPv4: em vez de dar a cada cliente o seu próprio IP público, colocam muitos clientes atrás de um único endereço público partilhado. O lado WAN do seu router recebe um endereço de intervalo privado (muitas vezes em 100.64.0.0/10), e o próprio NAT do ISP decide o que entra.

A consequência é simples e frustrante: nenhum IP público aponta para a sua linha, por isso as ligações de entrada não têm onde aterrar. O encaminhamento de portas no seu router só controla o tráfego que já chegou ao router - e com o CGNAT nunca chega, porque o bloqueio está um nível acima, dentro do ISP.

Como verificar se está atrás de CGNAT

Pode confirmá-lo num minuto. Abra a página de administração do seu router e encontre o seu IP WAN. Depois consulte o seu IP público num serviço como o whatismyip. Se os dois não coincidirem, está atrás de CGNAT. Um IP WAN do router em 100.64.0.0/10, ou um intervalo privado como 10.x.x.x ou 192.168.x.x, é um sinal inequívoco.

As soluções, da mais limpa à mais improvisada

• Um VPS com IP público (a mais fiável). Aloje o WireGuard num VPS barato. Tem um IPv4 público real, por isso não há NAT a combater - os seus dispositivos ligam-se diretamente. Se também precisar de chegar à sua LAN de casa, corra um pequeno túnel de casa para o VPS; essa ligação é de saída, o que o CGNAT permite.
• Uma rede com travessia de NAT (a mais fácil). O Tailscale, o Headscale auto-alojado, ou o Netbird usam ligações de saída e servidores de relay para ligar dois dispositivos atrás de NAT, sem qualquer encaminhamento de portas. Veja o que é o Tailscale e como funciona.
• Peça um IP público ao seu ISP. Alguns tiram-no do CGNAT ou vendem-lhe um IP estático, por vezes por um pequeno custo.
• IPv6. Se o seu ISP fornecer IPv6 real e encaminhável, o WireGuard sobre IPv6 evita o problema do IPv4 partilhado - desde que ambas as pontas tenham IPv6 a funcionar.
• Túneis inversos. O Cloudflare Tunnel, o wstunnel ou um túnel SSH inverso iniciam-se de saída a partir de casa para um ponto público, por isso também passam o CGNAT.

Qualquer que seja o caminho, vai querer um nome estável para lá chegar; o nosso guia de DNS dinâmico explica como manter um nome de anfitrião apontado para um endereço que muda.

Porque a via do VPS costuma ser a melhor

Para um VPN do qual depende, um VPS com o seu próprio IP público elimina toda esta classe de problemas. Obtém um endereço previsível, controlo total do firewall e da porta, nenhuma dependência da boa vontade do ISP, e serve também de nó de saída se quiser um. O compromisso honesto são alguns euros por mês e a pequena responsabilidade de manter o servidor atualizado.

Conclusão

Se o WireGuard liga bem na rede local mas nunca a partir do exterior, suspeite do CGNAT antes da sua configuração. Confirme-o com a verificação de IP WAN contra IP público, e depois escolha uma solução: um VPS com IP público é o mais fiável e aquele em que a maioria dos auto-alojadores assenta, uma rede com travessia de NAT é a opção sem encaminhamento mais simples, e o IPv6 ou um IP público do ISP funcionam bem onde estão disponíveis. O problema é a partilha de endereços do seu ISP, não o seu ficheiro WireGuard.