NAT estrita ou moderada no PC: UPnP, NAT dupla e CGNAT

"Meus amigos não conseguem entrar no meu lobby." "O chat de grupo conecta para todo mundo, menos para mim." "O jogo diz Tipo de NAT: Estrita, e reiniciar o roteador não mudou nada." As três coisas podem vir de um só mecanismo: algo entre a internet e o seu PC deixa o seu tráfego sair, mas barra uma conexão que outro jogador inicia em direção a você.

O que a NAT faz, e o que o rótulo avalia

O seu roteador tem um endereço IPv4 do lado da internet e dá endereços privados aos seus aparelhos. A tradução de endereços de rede (NAT) reescreve os seus pacotes na saída e lembra de cada conversa, para que as respostas encontrem o caminho de volta. A RFC 3022 explica a consequência: na NAT tradicional, as sessões são unidirecionais, de saída a partir da rede privada, e uma sessão iniciada de fora só entra por um mapeamento configurado de antemão para aquele host.

É por isso que entrar num servidor funciona mesmo com um rótulo ruim: é o seu PC que inicia essa conversa. O tipo de NAT avalia o quanto uma conversa iniciada por outra pessoa consegue passar. O Suporte Xbox define os níveis:

• Aberta: você pode jogar e hospedar partidas com pessoas que tenham qualquer tipo de NAT.
• Moderada: talvez você não consiga jogar com algumas pessoas, e normalmente não vai ser escolhido para hospedar.
• Estrita: você só pode jogar com pessoas cuja NAT seja Aberta, e não pode ser escolhido para hospedar.
• Indisponível: sem chat de grupo, e sem multijogador em alguns títulos do Xbox.

A documentação para desenvolvedores da Microsoft afirma a mesma regra: Moderada só se conecta com Moderada ou Aberta, Estrita só com Aberta. Por essa regra, dois jogadores com NAT Estrita não conseguem se conectar um ao outro.

Quando isso importa, e quando quase não importa

O rótulo importa quando outra pessoa precisa chegar até você:

• Partidas peer-to-peer. A documentação do Game Development Kit da Microsoft diz aos desenvolvedores que ainda se espera que os jogos peer-to-peer feitos com ele forneçam a própria descoberta de endereço IP público e de porta, junto com uma solução de NAT punching para clientes com NAT moderada ou estrita.
• Hospedar. Um lobby que você hospeda, ou um servidor listen ou dedicado no seu PC, espera os outros se conectarem. Para servidores dedicados ou listen, o Suporte Steam da Valve lista a UDP 27015 como a porta padrão do tráfego de jogo.
• Voz e chat de grupo, que o Suporte Xbox liga ao tipo de NAT junto com o multijogador.

Quase não importa quando o jogo coloca toda partida nos próprios servidores ou passa por um relay, porque aí é o seu PC que abre todas as conexões. A Steam Datagram Relay da Valve leva o tráfego de jogo pelo backbone e pelos relays da Valve, tanto para o tráfego peer-to-peer quanto para servidores dedicados, e, segundo a Valve, os endereços IP nunca são revelados. As notas de versão do Counter-Strike 2, por exemplo, distinguem as conexões retransmitidas pelo SDR das conexões UDP diretas a servidores da comunidade (Valve, 9 de setembro de 2024). Um rótulo Estrita em algum outro aplicativo diz pouco sobre um jogo que nunca precisa que alguém chegue até você.

Onde o Windows mostra isso

No Windows 10, Configurações > Jogos > Rede Xbox mostra o tipo de NAT e a conectividade com o servidor da rede Xbox. Teredo is unable to qualify ali (Teredo não pode se qualificar) significa que o seu PC não conseguiu obter um endereço Teredo. O Teredo é o protocolo de túnel que determinados jogos, entre eles Forza Horizon 3 e 4, usam para o multijogador na rede Xbox (Suporte Xbox). A mesma tela tem um botão Correção. O Suporte Xbox documenta essa tela só para o Windows 10; as instruções dele para a mesma falha no Windows 11 levam, em vez disso, a Configurações > Rede e Internet > Configurações avançadas de rede > Redefinir rede.

O Teredo também precisa do serviço Auxiliar de IP com inicialização automática e em execução, e do firewall do Windows ligado com a política padrão. O Suporte Xbox acrescenta que alguns aplicativos que reconfiguram o Windows para tentar otimizar o desempenho desligam o Auxiliar de IP, que alguns roteadores domésticos bloqueiam o Teredo quando veem IPv6 do lado da internet, e que alguns clientes de VPN o bloqueiam enquanto estão conectados. Onde uma ferramenta mudou essas configurações, o cartão Rede do Xbox e IPv6 da página Fix do w0a devolve o serviço Auxiliar de IP e as configurações de transição Teredo/IPv6 aos padrões do Windows (como o cartão funciona).

Descubra atrás de qual NAT você está

1. Entre no seu roteador e anote o endereço WAN ou de internet na página de status.
2. Compare-o com o seu endereço público, o que qualquer página de "qual é o meu IP" mostra.
3. Se os dois baterem, o seu roteador é o único tradutor, e o UPnP ou o encaminhamento de porta nele podem abrir o caminho.
4. Se não baterem, vale o veredito do Suporte Xbox: "a NAT aberta não será possível sob a configuração atual". Olhe o endereço WAN. Se for 10.x.x.x, de 172.16.x.x a 172.31.x.x ou 192.168.x.x, verifique primeiro se há uma segunda caixa sua na frente: um gateway do provedor mais o seu próprio roteador é NAT dupla. Se estiver entre 100.64.0.0 e 100.127.255.255, é o espaço de endereços compartilhado reservado para o link entre a NAT de nível de operadora do provedor e o seu roteador (RFC 6598).

Correções, por causa

UPnP no seu próprio roteador

O UPnP permite que um jogo peça ao seu roteador para aceitar tráfego de fora, sem que você precise digitar nada. O Suporte Xbox diz que, se o seu roteador tem suporte a ele, provavelmente ele vem ligado por padrão, e sugere atualizar a tabela NAT do roteador: desligue o UPnP, salve, reinicie o roteador, depois ligue o UPnP de novo e salve outra vez. Ele também avisa: "Não combine configurações de encaminhamento de porta, UPnP e rede de perímetro (também conhecida como DMZ)."

NAT dupla: coloque o gateway em modo ponte

Com um gateway do provedor e o seu próprio roteador, os dois aparelhos podem estar fazendo NAT, segundo o Suporte Xbox, e a correção dele é colocar o gateway no modo ponte, para que só o seu roteador traduza. Os passos dependem do gateway; a documentação dele ou o seu provedor os têm.

Encaminhamento de porta, quando você hospeda

Um encaminhamento manda uma porta direto para um aparelho, então esse aparelho precisa de um endereço que não mude. O método do Suporte Xbox: na seção DHCP ou LAN do roteador, adicione o endereço MAC do aparelho à lista de reservas. Depois encaminhe só as portas e os protocolos que a publicadora do jogo lista, como a UDP 27015 na lista da Valve para servidores dedicados ou listen. A opção de rede de perímetro (DMZ) vai muito além: o Suporte Xbox a descreve como algo que move o seu aparelho "para uma área fora do firewall de rede".

NAT de nível de operadora: só o seu provedor pode mudar

Uma NAT de nível de operadora (CGNAT) compartilha um endereço IPv4 entre vários assinantes, e a RFC 6888 acrescenta que ela não é gerenciada pelos assinantes: nenhuma configuração do seu roteador chega até ela. Um relatório de testes da CableLabs e de duas operadoras de cabo, publicado como RFC 7021, constatou em testes de 2010 que tecnologias de transição para IPv6 como 6to4 e Teredo falham completamente ou sofrem uma degradação grave do serviço atrás de uma delas. O conselho do Suporte Xbox é pedir ao seu provedor um endereço IP público e, se ele não puder dar um, trocar de provedor.

IPv6, onde o jogo usa

A RFC 7021 chama o IPv6 de solução para o problema do esgotamento do IPv4. As recomendações da IETF para roteadores IPv6 domésticos (RFC 6092) consideram improvável haver NAT ali, mas mantêm o hábito de só admitir tráfego iniciado de dentro, e pedem uma forma de os aplicativos abrirem fluxos de entrada, ou um modo transparente ("transparent mode"). Então o IPv6 só ajuda quando o seu provedor, o seu roteador e o jogo o usam; a documentação do Game Development Kit da Microsoft pede que os jogos associem a porta de multijogador tanto ao IPv4 quanto ao IPv6. Deixe os componentes de IPv6 do Windows nos padrões: entre as causas de falhas do Teredo, o Suporte Xbox lista o Teredo desligado no registro, por um programa ou à mão.

O que não muda o seu tipo de NAT

• Configurações de rede do Windows. Opções de TCP e DNS não tocam na tradução, que acontece no seu roteador ou no seu provedor. Tweaks de rede mostra o que essas caixas fazem.
• Desligar o firewall. O Suporte Xbox diz que o Teredo precisa do firewall do Windows em execução com a política padrão, e que com uma política de entrada "AllowInbound" o Teredo não consegue estabelecer a conexão IPsec.
• Uma DMZ por cima do UPnP ou do encaminhamento de porta. O Suporte Xbox diz para não combiná-los.
• Uma VPN. Alguns clientes de VPN bloqueiam o Teredo, e alguns deixam para trás uma regra de firewall que continua bloqueando-o depois de desinstalados. Se uma VPN ajuda o seu ping é outra questão: VPN diminui o ping?

Relacionados

• Ping alto e picos de lag: o que dá para resolver de verdade
• Rede do Xbox e IPv6
• VPN diminui o ping?
• Wi-Fi para jogos
• Tweaks de rede