NAT estrita ou moderada no PC: UPnP, NAT dupla e CGNAT

"Meus amigos não conseguem entrar no meu lobby." "O chat de grupo conecta para todo mundo, menos para mim." "O jogo diz Tipo de NAT: Estrito, e reiniciar o roteador não mudou nada." As três coisas podem vir de um só mecanismo: algo entre a internet e o seu PC deixa o seu tráfego sair, mas barra uma conexão que outro jogador inicia em direção a você.

O que a NAT faz, e o que o rótulo avalia

O seu roteador tem um endereço IPv4 do lado da internet e dá endereços privados aos seus aparelhos. A tradução de endereços de rede (NAT) reescreve os seus pacotes na saída e lembra de cada conversa, para que as respostas encontrem o caminho de volta. A RFC 3022 explica a consequência: na NAT tradicional, as sessões são unidirecionais, de saída a partir da rede privada, e uma sessão iniciada de fora só entra por um mapeamento configurado de antemão para aquele host.

É por isso que entrar num servidor funciona mesmo com um rótulo ruim: é o seu PC que inicia essa conversa. O tipo de NAT avalia o quanto uma conversa iniciada por outra pessoa consegue passar. O Suporte Xbox define os níveis:

• Aberto: você pode jogar e hospedar partidas com pessoas que tenham qualquer tipo de NAT.
• Moderado: talvez você não consiga jogar com algumas pessoas, e normalmente não vai ser escolhido para hospedar.
• Estrito: você só pode jogar com pessoas cujo tipo de NAT seja Aberto, e não pode ser escolhido para hospedar.
• Indisponível: sem chat de grupo, e sem multijogador em alguns títulos do Xbox.

A documentação para desenvolvedores da Microsoft afirma a mesma regra: Moderado só se conecta com Moderado ou Aberto, Estrito só com Aberto. Por essa regra, dois jogadores com tipo de NAT Estrito não conseguem se conectar um ao outro.

Quando isso importa, e quando quase não importa

O rótulo importa quando outra pessoa precisa chegar até você:

• Partidas peer-to-peer. A documentação do Game Development Kit da Microsoft diz aos desenvolvedores que ainda se espera que os jogos peer-to-peer feitos com ele forneçam a própria descoberta de endereço IP público e de porta, junto com uma solução de NAT punching para clientes com NAT moderada ou estrita.
• Hospedar. Um lobby que você hospeda, ou um servidor listen ou dedicado no seu PC, espera os outros se conectarem. Para servidores dedicados ou listen, o Suporte Steam da Valve lista a UDP 27015 como a porta padrão do tráfego de jogo.
• Voz e chat de grupo, que o Suporte Xbox liga ao tipo de NAT junto com o multijogador.

Quase não importa quando o jogo coloca toda partida nos próprios servidores ou passa por um relay, porque aí é o seu PC que abre todas as conexões. A Steam Datagram Relay da Valve leva o tráfego de jogo pelo backbone e pelos relays da Valve, tanto para o tráfego peer-to-peer quanto para servidores dedicados, e, segundo a Valve, os endereços IP nunca são revelados. As notas de versão do Counter-Strike 2, por exemplo, distinguem as conexões retransmitidas pelo SDR das conexões UDP diretas a servidores da comunidade (Valve, 9 de setembro de 2024). Um rótulo Estrito em algum outro aplicativo diz pouco sobre um jogo que nunca precisa que alguém chegue até você.

Onde o Windows mostra isso

No Windows 10, Configurações > Jogos > Rede Xbox mostra o tipo de NAT e a conectividade com o servidor da rede Xbox. Teredo is unable to qualify ali (Teredo não pode se qualificar) significa que o seu PC não conseguiu obter um endereço Teredo. O Teredo é o protocolo de túnel que determinados jogos, entre eles Forza Horizon 3 e 4, usam para o multijogador na rede Xbox (Suporte Xbox). A mesma tela tem um botão Corrigir. O Suporte Xbox documenta essa tela só para o Windows 10; as instruções dele para a mesma falha no Windows 11 levam, em vez disso, a Configurações > Rede e Internet > Configurações avançadas de rede > Redefinição da rede.

O Teredo também precisa do serviço Auxiliar de IP com inicialização automática e em execução, e do firewall do Windows ligado com a política padrão. O Suporte Xbox acrescenta que alguns aplicativos que reconfiguram o Windows para tentar otimizar o desempenho desligam o Auxiliar de IP, que alguns roteadores domésticos bloqueiam o Teredo quando veem IPv6 do lado da internet, e que alguns clientes de VPN o bloqueiam enquanto estão conectados. Onde uma ferramenta mudou essas configurações, o cartão Rede do Xbox e IPv6 da página Fix do w0a devolve o serviço Auxiliar de IP e as configurações de transição Teredo/IPv6 aos padrões do Windows (como o cartão funciona).

Descubra atrás de qual NAT você está

1. Entre no seu roteador e anote o endereço WAN ou de internet na página de status.
2. Compare-o com o seu endereço público, o que qualquer página de "qual é o meu IP" mostra.
3. Se os dois baterem, o seu roteador é o único tradutor, e o UPnP ou o encaminhamento de porta nele podem abrir o caminho.
4. Se não baterem, vale o veredito do Suporte Xbox: "a NAT aberta não será possível sob a configuração atual". Olhe o endereço WAN. Se for 10.x.x.x, de 172.16.x.x a 172.31.x.x ou 192.168.x.x, verifique primeiro se há uma segunda caixa sua na frente: um gateway do provedor mais o seu próprio roteador é NAT dupla. Se estiver entre 100.64.0.0 e 100.127.255.255, é o espaço de endereços compartilhado reservado para o link entre a NAT de nível de operadora do provedor e o seu roteador (RFC 6598).

Correções, por causa

UPnP no seu próprio roteador

O UPnP permite que um jogo peça ao seu roteador para aceitar tráfego de fora, sem que você precise digitar nada. O Suporte Xbox diz que, se o seu roteador tem suporte a ele, provavelmente ele vem ligado por padrão, e sugere atualizar a tabela NAT do roteador: desligue o UPnP, salve, reinicie o roteador, depois ligue o UPnP de novo e salve outra vez. Ele também avisa: "Não combine configurações de encaminhamento de porta, UPnP e rede de perímetro (também conhecida como DMZ)."

NAT dupla: coloque o gateway em modo ponte

Com um gateway do provedor e o seu próprio roteador, os dois aparelhos podem estar fazendo NAT, segundo o Suporte Xbox, e a correção dele é colocar o gateway no modo ponte, para que só o seu roteador traduza. Os passos dependem do gateway; a documentação dele ou o seu provedor os têm.

Encaminhamento de porta, quando você hospeda

Um encaminhamento manda uma porta direto para um aparelho, então esse aparelho precisa de um endereço que não mude. O método do Suporte Xbox: na seção DHCP ou LAN do roteador, adicione o endereço MAC do aparelho à lista de reservas. Depois encaminhe só as portas e os protocolos que a publicadora do jogo lista, como a UDP 27015 na lista da Valve para servidores dedicados ou listen. A opção de rede de perímetro (DMZ) vai muito além: o Suporte Xbox a descreve como algo que move o seu aparelho "para uma área fora do firewall de rede".

NAT de nível de operadora: só o seu provedor pode mudar

Uma NAT de nível de operadora (CGNAT) compartilha um endereço IPv4 entre vários assinantes, e a RFC 6888 acrescenta que ela não é gerenciada pelos assinantes: nenhuma configuração do seu roteador chega até ela. Um relatório de testes da CableLabs e de duas operadoras de cabo, publicado como RFC 7021, constatou em testes de 2010 que tecnologias de transição para IPv6 como 6to4 e Teredo falham completamente ou sofrem uma degradação grave do serviço atrás de uma delas. O conselho do Suporte Xbox é pedir ao seu provedor um endereço IP público e, se ele não puder dar um, trocar de provedor.

IPv6, onde o jogo usa

A RFC 7021 chama o IPv6 de solução para o problema do esgotamento do IPv4. As recomendações da IETF para roteadores IPv6 domésticos (RFC 6092) consideram improvável haver NAT ali, mas mantêm o hábito de só admitir tráfego iniciado de dentro, e pedem uma forma de os aplicativos abrirem fluxos de entrada, ou um modo transparente ("transparent mode"). Então o IPv6 só ajuda quando o seu provedor, o seu roteador e o jogo o usam; a documentação do Game Development Kit da Microsoft pede que os jogos associem a porta de multijogador tanto ao IPv4 quanto ao IPv6. Deixe os componentes de IPv6 do Windows nos padrões: entre as causas de falhas do Teredo, o Suporte Xbox lista o Teredo desligado no registro, por um programa ou à mão.

O que não muda o seu tipo de NAT

• Configurações de rede do Windows. Opções de TCP e DNS não tocam na tradução, que acontece no seu roteador ou no seu provedor. Tweaks de rede mostra o que essas caixas fazem.
• Desligar o firewall. O Suporte Xbox diz que o Teredo precisa do firewall do Windows em execução com a política padrão, e que com uma política de entrada "AllowInbound" o Teredo não consegue estabelecer a conexão IPsec.
• Uma DMZ por cima do UPnP ou do encaminhamento de porta. O Suporte Xbox diz para não combiná-los.
• Uma VPN. Alguns clientes de VPN bloqueiam o Teredo, e alguns deixam para trás uma regra de firewall que continua bloqueando-o depois de desinstalados. Se uma VPN ajuda o seu ping é outra questão: VPN diminui o ping?

Relacionados

• Ping alto e picos de lag: o que dá para resolver de verdade
• Rede do Xbox e IPv6
• VPN diminui o ping?
• Wi-Fi para jogos
• Tweaks de rede