Planejamento de CGNAT determinístico no MikroTik

Antes de gerar regras de NAT, defina quantos assinantes dividirão cada IP público e qual intervalo de portas ficará associado a cada endereço interno.

Conteúdo Provedrix · Planejamento e conferência do mapa

O que o gerador entrega

O gerador CGNAT do Provedrix produz regras de source NAT para RouterOS, com uma associação previsível de endereço interno, endereço público e intervalo de portas TCP/UDP. Também exporta um mapa CSV para conferência. O script é um ponto de partida de configuração e precisa ser revisado no contexto do roteador.

O programa não configura toda a borda do provedor. Rotas, firewall de filtragem, endereços nas interfaces, DNS, redundância, monitoramento e política de FastTrack precisam ser avaliados separadamente. Gerar regras sem erros de preenchimento não confirma capacidade de tráfego do hardware.

Calcule portas por assinante

Considere uma faixa inclusiva de 1024 a 65535. São 65535 − 1024 + 1 = 64512 portas. Se 32 assinantes compartilharem cada IP público, a divisão uniforme resulta em 64512 ÷ 32 = 2016 portas por assinante, por protocolo.

O primeiro assinante recebe 1024–3039, e o segundo, 3040–5055. A posição seguinte começa uma unidade depois do fim da anterior. Quando a divisão não é exata, o gerador usa a parte inteira e informa as portas remanescentes. A configuração não deve reservar o mesmo par IP público/porta/protocolo para dois endereços internos.

A quantidade adequada depende do perfil de uso. Mais assinantes por IP significam menos portas por assinante. Aplicações que abrem muitas sessões podem esgotar a reserva mesmo quando a banda disponível parece suficiente. Monitore conexões e falhas reais antes de ampliar o compartilhamento.

Exemplo de capacidade e associação

Imagine 64 endereços internos e uma razão de 32 por IP público. O planejamento exige dois IPs públicos. Um terceiro IP não aumenta a reserva dos assinantes já mapeados automaticamente; isso depende de gerar e aplicar outro desenho.

Use endereçamento compartilhado dentro de 100.64.0.0/10, de 100.64.0.0 a 100.127.255.255, destinado ao uso compartilhado definido pela RFC 6598. Esse intervalo não é o mesmo conjunto dos blocos privados da RFC 1918. Confira se a sua rede de transporte e os equipamentos do cliente já utilizam endereços conflitantes.

Para exemplos de laboratório, o gerador permite blocos de documentação quando o modo de laboratório está selecionado. Eles não devem sair para a internet como se fossem IPs públicos atribuídos ao seu provedor. Em produção, use somente endereços autorizados e roteados até a sua borda.

Por que guardar o mapa e o histórico?

Em um desenho determinístico, a associação prévia reduz a necessidade de registrar cada tradução individual. Isso não elimina o histórico de qual assinante utilizou o endereço interno, nem a necessidade de saber qual versão do mapa estava ativa em determinado instante.

Guarde a configuração aplicada, a associação de assinantes, os períodos de validade e a referência de horário. ICMP e outros protocolos não devem ser interpretados como se usassem as mesmas portas TCP/UDP. O CSV desta ferramenta documenta o planejamento; não é um sistema de identificação de assinantes, coleta de eventos ou comprovação de atendimento a obrigações legais.

Conferência antes de aplicar

1. Faça backup e exporte a configuração atual. Prepare um acesso de recuperação.
2. Verifique a interface de saída, os IPs públicos e o caminho de retorno.
3. Confira a primeira e a última linha do CSV, a capacidade total e a ausência de sobreposição.
4. Revise a posição das regras em relação ao NAT existente e às exceções.
5. Teste TCP, UDP e ICMP, além de aplicações importantes para os clientes.
6. Observe CPU, conexões, utilização de portas e comportamento durante falhas.

Uma alteração de NAT pode não afetar imediatamente conexões já presentes no connection tracking. Planeje a janela de manutenção e consulte a documentação da versão do RouterOS. Não limpe todas as conexões em produção sem avaliar a interrupção que isso causará.

Referências

RFC 6598 · RFC 7422 · Documentação de NAT MikroTik. Relate uma correção.