O que é Double NAT: Por que prejudica os jogos e como resolver

Como o NAT Funciona vs. Como o Double NAT Prejudica as Conexões

Para entender por que o Double NAT gera tantas falhas de conectividade, é essencial compreender primeiro como a Tradução de Endereços de Rede opera em uma conexão de banda larga residencial convencional.

NAT Simples: Traduzindo um IP Público para Múltiplos IPs Privados

O seu provedor de internet fornece à sua residência um único endereço IPv4 público (por exemplo, 73.189.44.12). No entanto, um lar contemporâneo conecta dezenas de aparelhos ao mesmo tempo: celulares, notebooks, smart TVs e consoles de videogame.

Como não existem endereços IPv4 suficientes no mundo para cada dispositivo, o roteador utiliza o NAT (padronizado pela IETF RFC 1918) para criar uma rede local privada — habitualmente na faixa 192.168.1.0/24 ou 10.0.0.0/24. Quando o seu computador requisita uma página na web, o roteador substitui o IP privado do computador pelo IP público, registra a transação na sua tabela de tradução e direciona as informações de resposta de volta ao computador. Esse processo com um único salto é perfeitamente fluido e transparente.

Double NAT: A Armadilha de Isolamento entre Dois Roteadores

O Double NAT acontece quando dois roteadores ativos são conectados em cascata. Se você não tem certeza se o aparelho da sua operadora é apenas modem ou combo roteador, veja nosso artigo sobre as diferenças entre modem e roteador.

1. Roteador 1 (Modem/Gateway da Operadora): Conecta-se à Internet, recebe o IP público 73.189.44.12 e cria a sub-rede privada A (ex.: 192.168.1.1).
2. Roteador 2 (Seu Roteador Mesh): Conecta sua porta WAN ao Roteador 1, recebe um IP privado do Roteador 1 (ex.: 192.168.1.50) e cria a sub-rede privada B (ex.: 192.168.68.1).
3. Seu Console de Jogos ou Computador: Conecta-se ao Roteador 2 e obtém um IP pertencente à sub-rede B (ex.: 192.168.68.105).

Em vez de apenas uma camada de tradução, cada pacote de dados precisa transpor dois firewalls independentes e duas tabelas de roteamento totalmente isoladas.

Por que o Tráfego de Saída Funciona Enquanto o Tráfego de Entrada Falha

Navegar em sites, assistir a vídeos no YouTube e baixar jogos continuam funcionando sem anomalias aparentes porque são os seus aparelhos que iniciam as solicitações para o exterior. Essas conexões de saída abrem canais temporários nos dois firewalls NAT, permitindo que as respostas dos servidores voltem ao seu dispositivo.

O transtorno se manifesta com o tráfego de entrada não solicitado. Em partidas multijogador com arquitetura ponto a ponto (como Call of Duty, EA Sports FC ou Halo), o console de outro usuário envia pacotes diretamente para o seu endereço IP público. Ao chegarem ao Roteador 1, este não tem registro de tradução que aponte qual aparelho conectado ao Roteador 2 está aguardando aquele pacote; com isso, o firewall descarta a solicitação imediatamente. O handshake de entrada nunca alcança o seu console.

Por que o Double NAT Prejudica Jogos Online, Casas Inteligentes e Servidores

O Double NAT geralmente não é detectado em testes habituais de velocidade de internet, mas ocasiona falhas críticas e consistentes no uso cotidiano:

Jogos em Consoles Xbox Series X/S e PS5 (NAT Tipo 3 e NAT Estrito)

Os consoles contemporâneos realizam diagnósticos minuciosos de rede ao inicializar para determinar a integridade do multijogador:

• Xbox: Exibe o aviso "Double NAT Detectado" e ajusta o tipo de NAT para Estrito (Strict). Você fica impedido de hospedar partidas, participar de bate-papos por voz em grupo ou conectar-se com jogadores em NAT Moderado ou Estrito.
• PlayStation (PS4/PS5): Notifica NAT Tipo 3 (Estrito). O tempo nas filas de matchmaking dispara, as conversas de áudio sofrem quedas recorrentes com mensagens de erro e sessões ponto a ponto não são estabelecidas.
• Nintendo Switch: Define o NAT Tipo D ou F, impedindo o ingresso em salas de Mario Kart ou Super Smash Bros.

Como os pacotes bloqueados costumam ser confundidos com sinal fraco de Wi-Fi, consulte nosso guia de diagnóstico sobre como corrigir a perda de pacotes em jogos para isolar falhas de rota de problemas no cabo..

Caso esteja escolhendo roteadores para sua casa, veja nosso comparativo de redes mesh eero vs. Orbi.

Chamadas de Voz e Vídeo (Discord, Teams e Ligações via Wi-Fi)

Protocolos de voz sobre IP (SIP, RTP) exigem tráfego de áudio bidirecional direto. No cenário de Double NAT, seus pacotes de áudio de saída conseguem chegar à outra ponta, mas os pacotes de áudio recebidos não conseguem ultrapassar o segundo firewall. Isso provoca o "áudio unidirecional" (onde você ouve o interlocutor, mas ele não consegue ouvi-lo) ou chamadas que caem abruptamente após 30 segundos.

Dispositivos de Casa Inteligente, Servidores Plex e Acesso Remoto a NAS

Se você mantém um servidor multimídia caseiro (Plex, Jellyfin) ou um storage de rede (NAS) para acessar arquivos remotamente, as regras de redirecionamento de portas do seu roteador não terão efeito. As tentativas de acesso externo atingem o modem da operadora e são interrompidas ali, pois ele não se comunica com as configurações do roteador secundário. Além disso, equipamentos inteligentes alocados em sub-redes distintas (como lâmpadas inteligentes no modem e o smartphone no Wi-Fi mesh) não se localizam via mDNS ou UPnP.

Como Testar a Presença de Double NAT em Menos de 60 Segundos

É possível confirmar se a sua conexão está submetida a Double NAT executando dois testes diagnósticos rápidos:

Método 1: O Comando Traceroute no Windows e no Mac

Abra o Prompt de Comando (Windows) ou o Terminal (macOS/Linux) e rastreie o caminho até um endereço DNS público confiável:

Examine os dois primeiros saltos (hops) apresentados no resultado:

• Normal (NAT Único):

  Salto 1: 192.168.1.1 (Seu roteador)
  Salto 2: 100.x.x.x ou nó público da operadora (Trajeto limpo na internet)

• Double NAT Ativo:

  Salto 1: 192.168.68.1 (Seu roteador mesh)
  Salto 2: 192.168.1.1  (O modem da operadora — IP privado no segundo salto confirma o Double NAT!)

Se você constatar dois endereços IP privados consecutivos (iniciados com 192.168.x.x, 10.x.x.x ou entre 172.16.x.x e 172.31.x.x), sua conexão está trafegando por dois roteadores sucessivos.

Método 2: Verificando o Endereço IP WAN do Roteador Secundário

Acesse o painel web ou o aplicativo do seu roteador pessoal (eero, Netgear Orbi, Asus, etc.) e confira o endereço IP de Internet / WAN:

• Se o IP WAN começar com 192.168.x.x, 10.x.x.x ou 172.16.x.x, o roteador está recebendo um IP local privado fornecido por outro roteador anterior. Você está sob Double NAT.
• Se o IP WAN for idêntico ao IP público reportado em sites como whatismyipaddress.com, seu roteador está conectado diretamente à Internet com NAT Único.

Aviso: Diferenciando Double NAT de Carrier-Grade NAT (CGNAT)

Se o IP WAN do seu roteador estiver situado no intervalo entre 100.64.0.0 e 100.127.255.255, sua conexão utiliza Carrier-Grade NAT (CGNAT). Esse recurso é muito comum em internet 4G/5G fixa residencial, Starlink e em certos provedores de fibra óptica. Como o CGNAT opera na central da operadora, alterações de ajustes no seu roteador local não surtirão efeito sem a solicitação de um endereço IP público fixo junto ao provedor.

Os 4 Métodos Comprovados para Resolver o Double NAT

Superar o Double NAT exige assegurar que apenas um dispositivo em toda a sua rede execute tarefas de roteamento e NAT. Escolha a alternativa correspondente à sua infraestrutura:

Método 1: Ativar o Modo Bridge Real no Modem da Operadora (Recomendado)

Esta é a solução padrão recomendada por engenheiros de rede. Habilitar o Modo Bridge desativa as antenas Wi-Fi, o servidor DHCP e a tradução NAT do aparelho da operadora, convertendo-o em um modem pass-through transparente.

1. Conecte um computador diretamente ao modem da operadora usando um cabo de rede Ethernet.
2. Abra o navegador e acesse o endereço IP do equipamento (geralmente 192.168.1.1, 192.168.0.1 ou 10.0.0.1).
3. Faça login com as credenciais de administrador indicadas na etiqueta do modem.
4. Localize a aba Configurações Avançadas ou Modo de Operação.
5. Encontre a opção Modo Bridge (Ponte) e altere para Ativado.
6. Grave as alterações e permita que o modem reinicie. Após reiniciar, conecte a porta WAN do seu roteador pessoal à porta Ethernet 1 do modem da operadora.

O seu roteador pessoal receberá diretamente o endereço IP público, sanando por completo o Double NAT..

Além disso, ter um único roteador dedicado permite ativar o Smart Queue Management (SQM) contra picos de latência: confira o que é bufferbloat e como resolver.

Método 2: Configurar IP Passthrough ou DMZplus (Gateways de Fibra)

Certas ONTs e modems de fibra óptica não oferecem a chave de alternância para bridge padrão porque serviços de telefonia fixa VoIP ou TV por assinatura dependem do modem em funcionamento. Como alternativa, disponibilizam o IP Passthrough:

1. Abra o painel de gerenciamento do modem (comumente 192.168.1.254 ou 192.168.1.1).
2. Vá até a opção Firewall > IP Passthrough.
3. Selecione o modo de alocação como Passthrough.
4. Defina o protocolo como DHCPS-fixed.
5. Identifique e selecione o endereço MAC do seu roteador pessoal na lista de equipamentos.
6. Desligue os rádios Wi-Fi de 2,4 GHz e 5 GHz do modem da operadora para que não gerem interferência com o seu sistema mesh.

Método 3: Mudar seu Sistema Mesh para o Modo Ponto de Acesso (AP)

Se você prefere que o modem da operadora continue gerenciando a rede da sua residência (ou caso o plano contratado impeça modificações no equipamento da operadora), é possível desativar as funções de roteador no seu sistema mesh:

• eero: Abra o aplicativo eero > Configurações > Configurações de Rede > DHCP e NAT > Escolha Bridge.
• Netgear Orbi: Acesse orbilogin.com > Avançado > Configuração Avançada > Modo Roteador / AP > Escolha Modo AP.
• TP-Link Deco: Abra o app Deco > Mais > Avançado > Modo de Operação > Escolha Ponto de Acesso.
• Asus ZenWiFi: Administração > Modo de Operação > Escolha Modo Ponto de Acesso (AP).

No Modo AP, as unidades mesh mantêm o sinal sem fio estável e uniforme por toda a casa, porém deixam de gerenciar a entrega de IPs. O modem da operadora opera como único roteador, restaurando o NAT Único para todos os dispositivos.

Método 4: Configurar seu Roteador Secundário na DMZ do Modem da Operadora

Caso o equipamento da operadora não conte com modo bridge e você não queira utilizar o modo AP (por necessitar de controle parental avançado, VPNs dedicadas ou QoS integrados no seu roteador pessoal), você pode adotar uma DMZ (Zona Desmilitarizada):

1. Defina um endereço IP local estático para o roteador secundário dentro da sub-rede do modem da operadora (ex.: 192.168.1.100).
2. Nas telas de configuração do modem da operadora, abra Firewall > DMZ.
3. Digite 192.168.1.100 como endereço IP do host DMZ e salve.

O modem repassará todos os pacotes de entrada não solicitados diretamente ao roteador secundário sem inspecioná-los, contornando o primeiro firewall de forma funcional..

Desafios similares de NAT ocorrem em redes públicas e hotéis; aprenda a configurá-los em nosso guia sobre como usar roteador de viagem no Wi-Fi do hotel.