SENTINELAMONITORAMENTO DE REDE
Blog · Sentinela

Como responder ofício de CGNAT sem se enrolar

Atualizado em 24 de agosto de 2026 · por Sentinela

O ofício chega assim: “informe qual assinante utilizava o IP 203.0.113.10, porta 44210, às 14h32 do dia 03/06”. Com CGNAT, responder isso não é trivial — mas é obrigação legal. Veja como se preparar.

Por que o CGNAT complica a identificação

No CGNAT (Carrier-Grade NAT), dezenas ou centenas de assinantes compartilham um mesmo endereço IPv4 público — uma economia necessária diante da escassez de IPv4. O problema: quando uma autoridade pede quem estava por trás de um IP num instante, o IP sozinho não responde. É preciso cruzar IP público + porta de origem + data/hora para chegar ao assinante real.

O que a lei exige

O Marco Civil da Internet (Lei 12.965/2014) obriga o provedor de conexão a guardar os registros de conexão por, no mínimo, 1 ano. Na prática, isso significa conseguir mapear, para qualquer momento do período, qual assinatura usava determinado IP público e porta. Não conseguir responder um ofício expõe o provedor a sanções.

Dois caminhos para responder

1. Log de tradução (NAT logging)

O equipamento registra cada tradução (IP privado → IP público:porta). É preciso e completo, mas gera um volume enorme de logs — que precisa ser armazenado, indexado e consultável por 1 ano. Para provedores maiores, isso vira um custo de armazenamento e busca considerável.

2. CGNAT determinístico

Em vez de logar cada conexão, você aloca um bloco fixo de portas para cada assinante. Sabendo a faixa de portas, a resposta é imediata: dado o IP público + porta, uma conta simples aponta o assinante — sem guardar terabytes de log. É o modelo mais leve e o preferido de quem responde ofícios com frequência.

Na prática, o determinístico responde “quem era” em segundos; o baseado em log responde tudo, mas cobra o preço do armazenamento. Muitos provedores combinam os dois.

Passo a passo para responder um ofício

  1. Confirme os dados do ofício: IP público, porta de origem, data/hora com fuso (atenção ao horário de verão e ao UTC).
  2. Localize o mapeamento vigente naquele instante (a regra de NAT pode ter mudado — use a que valia na data pedida).
  3. Cruze IP+porta+tempo para chegar ao assinante (CPF/CNPJ, contrato, endereço).
  4. Monte a resposta com a cadeia de evidências e o método usado, dentro do prazo do ofício.

Como o Sentinela ajuda

O módulo de CGNAT do Sentinela importa as regras de NAT determinístico do seu roteador de borda e resolve público ↔ assinante na tela, sem depender de log gigante. Você cola o IP + porta + horário e ele devolve o assinante — pronto para anexar ao ofício.

Enxergue sua rede num painel só

Flow, CGNAT, OLT/SNMP, TR-069 e anti-DDoS com mitigação BGP — na sua infraestrutura, em português. Teste grátis por 5 dias.

Começar teste grátis →