CGNAT em conformidade com o Marco Civil: logs e compliance para provedores de internet

Receber um oficio judicial pedindo a identificacao de quem usava determinado IP publico em uma data passada e uma das situacoes mais comuns — e mais estressantes — na rotina de um provedor de internet. Quando o provedor usa CGNAT, responder a esse oficio sem os logs corretos vira uma armadilha juridica: o IP publico pertence a dezenas de assinantes ao mesmo tempo, e sem o registro de portas nao da para saber quem gerou o trafego.

Neste guia voce entende o que o Marco Civil da Internet exige do provedor, por que o CGNAT torna o cumprimento dessa obrigacao mais complexo, o que deve constar no log de CGNAT, por quanto tempo armazenar e como a Baronix ajuda provedores a implementarem CGNAT em conformidade com a lei com suporte N2/N3 especializado em ISP.

O que o Marco Civil da Internet exige do provedor

O Marco Civil da Internet (Lei 12.965/2014) estabelece que os provedores de conexao a internet devem manter registros dos logs de conexao, sob guarda pelo prazo previsto em regulamentacao, para fins de identificacao dos assinantes quando solicitado por ordem judicial. A finalidade e clara: permitir que, diante de um oficio, o provedor consiga associar um endereco IP publico e um instante de tempo a um CPF titular da conexao.

Para quem entrega IP publico dedicado a cada assinante, isso e direto: basta guardar o log de atribuicao de IP. O problema aparece quando o provedor adota CGNAT (Carrier-Grade NAT), porque varios assinantes passam a compartilhar o mesmo endereco IP publico. O IP publico sozinho deixa de identificar ninguem.

E exatamente por isso que a estrategia de logs de CGNAT deixou de ser um detalhe tecnico e virou uma obrigacao juridica concreta para a maioria dos provedores brasileiros, que nao conseguem mais blocos IPv4 suficientes para entregar IP publico a todos.

Por que o CGNAT complica o cumprimento da lei

Sem CGNAT, a relacao entre IP publico e assinante e um-para-um. Com CGNAT (tambem chamado de NAT444 ou LS-NAT), um unico IP publico e compartilhado entre muitos assinantes ao mesmo tempo, e a diferenciacao entre eles acontece pelas portas de origem alocadas em cada traducao.

Isso significa que, para identificar um assinante a partir de um oficio que traz apenas IP publico, porta e horario, o provedor precisa ter guardado, no minimo:

• IP publico do provedor usado na traducao;
• IP privado do assinante (ou identificador do CPE);
• Porta de origem alocada para aquela conexao;
• IP e porta de destino;
• Protocolo (TCP/UDP);
• Timestamp com precisao de segundo, idealmente em UTC com offset;
• Identificador da faixa de portas (PBA), quando usado Port Block Allocation.

Sem esses campos, o provedor fica sem defesa: nao consegue provar qual assinante gerou o trafego e, dependendo do caso, pode responder de forma solidaria por atos praticados a partir da sua rede. O texto do Marco Civil da Internet nao detalha o formato tecnico do log, mas a exigencia de identificacao do assinante torna esses campos obrigatorios na pratica.

O que registrar: o log minimo de CGNAT em conformidade

Existem duas abordagens principais para registrar o CGNAT em conformidade com o Marco Civil, e a escolha entre elas impacta diretamente volume de armazenamento, custo e velocidade de resposta a oficios.

1. Log por conexao (full flow logging)

Registra cada conexao traduzida individualmente. E o modelo mais completo e o que permite resposta mais rapida a oficios, porque basta buscar por IP publico + porta + timestamp e voce tem a conexao exata. O lado negativo e o volume: em um provedor medio, isso pode significar dezenas ou centenas de GB por mes, exigindo storage, rotacao e indexacao serios.

2. PBA — Port Block Allocation

Em vez de logar cada conexao, o provedor aloca blocos de portas (por exemplo, 1.000 portas) para cada assinante durante uma janela de tempo (por exemplo, 30 segundos). O log registra apenas qual faixa de portas foi entregue a qual assinante em qual intervalo. Para responder a um oficio, basta cruzar IP publico + porta + timestamp com a faixa que estava alocada naquele momento.

O PBA reduz drasticamente o volume de logs — frequentemente em uma ordem de grandeza — e ainda mantem a capacidade de identificacao do assinante. Por isso virou a abordagem mais usada para conciliar CGNAT e Marco Civil da Internet em provedores de medio e grande porte.

Dimensionamento de CGNAT: portas, proporcao e impacto na retencao

O dimensionamento do CGNAT nao e so uma questao de performance — ele afeta diretamente a sua capacidade de compliance. Cada IP publico possui 65.536 portas, das quais as 1.024 well-known normalmente sao reservadas para uso do sistema. Se voce divide um IP publico entre 32 assinantes (proporcao 1:32), cada um tera pouco mais de 2.000 portas disponiveis para uso simultaneo.

Em redes com uso intenso (streaming, jogos, IoT, notificacoes push persistentes), essa cifra pode esgotar rapidamente e gerar a chamada degradacao silenciosa: a conexao e recusada por falta de porta, mas o NOC nao ve alerta. Por isso o dimensionamento precisa considerar:

• Numero de assinantes por IP publico (proporcao);
• Consumo medio e de pico de portas por assinante;
• Politica de PBA (tamanho do bloco e janela de tempo);
• Capacidade de armazenamento de logs por 12 meses;
• Impacto do log por conexao versus PBA sobre o storage.

Um dimensionamento errado nao prejudica so a experiencia do assinante — ele tambem pode tornar a resposta a oficios mais lenta ou imprecisa, exatamente o que o Marco Civil quer evitar. Se voce precisa revisar o dimensionamento do seu CGNAT, a Baronix faz esse diagnostico no contexto de consultoria para provedores ISP.

Quanto tempo armazenar logs de CGNAT

O Marco Civil da Internet prevê a guarda de logs de conexao pelos provedores pelo prazo definido em regulamentacao. A referencia habitual adotada pelo mercado e de 12 meses, e a recomendacao tecnica da Baronix e manter por no minimo esse periodo — idealmente com margem de 13 a 18 meses — porque pedidos de devolucao de oficios podem chegar meses apos o fato acontecido.

Guardar por menos tempo expoe o provedor ao risco de nao conseguir responder; guardar por mais tempo aumenta custo de storage. O ponto de equilibrio depende do volume da operacao e do modelo de logging (PBA permite retencao mais longa com custo menor). De qualquer forma, a retencao precisa ser automatica e comprovavel: um oficio nao espera o provedor reconfigurar o syslog.

Como responder a um oficio judicial com logs de CGNAT

Ter os logs nao basta — e preciso conseguir consulta-los rapidamente e gerar uma resposta clara. Um procedimento documentado tipico inclui:

1. Receber o oficio com IP publico, porta (quando houver), data e horario;
2. Buscar no repositorio de logs (syslog/SIEM) o registro que casa IP publico + porta + timestamp;
3. Identificar o IP privado (ou CPE) associado naquela janela;
4. Cruzar com o cadastro do assinante para obter o CPF titular;
5. Gerar a resposta em prazo habil, com print/log anexo quando exigido.

O passo mais sensivel e o tempo: sem um repositorio indexado e um procedimento pronto, essa busca pode levar horas ou se tornar inviavel. Provedores que contam com suporte N2/N3 especializado tendem a ter esse fluxo mais enxuto e defensavel.

Erros comuns que deixam o provedor sem defesa juridica

• CGNAT rodando sem coleta de logs desde o inicio — a falha mais frequente; sem logs historicos nao ha como retroagir;
• Logs em memoria ou no proprio roteador — sumem em reboot ou rotam sozinhos, nao servem para retencao de 12 meses;
• Timestamp sem precisao ou sem fuso definido — gera divergencia na correlacao com o horario do oficio;
• PBA habilitado sem registrar a faixa de portas por assinante — o recurso existe mas nao esta sendo logado;
• Sem procedimento documentado de resposta a oficio — na hora da urgencia, ninguem sabe por onde comecar;
• Dimensionamento agressivo demais — esgota portas e degrada a experiencia sem gerar alerta.

CGNAT em MikroTik, Huawei, Cisco e Juniper: consideracoes de logging

A boa noticia e que as principais plataformas de borda suportam a coleta de logs de CGNAT — a questao e configurar corretamente. Em linhas gerais:

• MikroTik (RouterOS): registra conexoes de NAT, mas a configuracao default raramente atende retencao de 12 meses; o indicado e enviar os logs para um servidor syslog externo e garantir rotacao persistente, validando se o PBA esta sendo registrado quando habilitado;
• Huawei: plataformas de borda com CGNAT dedicado costumam ter modulos de logging de fluxo e PBA; o ajuste fino envolve politica de registro, volume e destino do syslog;
• Cisco e Juniper: oferecem NetFlow/IPFIX e recursos de CGNAT logging em plataformas de service provider; a coleta depende de configurar exportacao de flow com os campos de traducao;

Independente do vendor, o principio e o mesmo: logs de CGNAT fora do roteador, em servidor dedicado, com retencao comprovavel de 12 meses. A Baronix atua em ambiente multivendor (Cisco, Juniper, Huawei, MikroTik, Fortinet) e ajuda a padronizar essa coleta em toda a borda. Se voce tambem trabalha com BGP multihoming ou RPKI, o mesmo squad consegue tratar roteamento e compliance juntos.

Checklist de compliance CGNAT + Marco Civil

• ☐ CGNAT com coleta de logs ativa desde o inicio da operacao;
• ☐ Logs enviados para servidor syslog externo (nao em memoria/roteador);
• ☐ Campos minimos registrados: IP publico, IP privado, porta origem, destino, protocolo, timestamp;
• ☐ PBA com faixa de portas por assinante registrada (quando aplicavel);
• ☐ Timestamp com precisao de segundo e fuso definido (UTC + offset);
• ☐ Retencao automatica de no minimo 12 meses;
• ☐ Repositorio indexado para busca por IP publico + porta + horario;
• ☐ Procedimento documentado de resposta a oficio judicial;
• ☐ Dimensionamento revisado (proporcao, portas por assinante, PBA);
• ☐ Teste periodico de resposta a oficio simulado.

Perguntas frequentes

Conclusao

O CGNAT deixou de ser apenas uma engenharia de redes: com o Marco Civil da Internet em vigor e o IPv4 esgotado, a capacidade de logar e identificar assinantes virou parte da obrigacao juridica de todo provedor. Quem trata isso como detalhe tecnico corre o risco de descobrir o problema apenas quando chega um oficio — e ai ja e tarde demais para retroagir.

O caminho seguro combina PBA ou log por conexao, syslog externo com retencao de 12 meses, timestamp preciso, procedimento documentado de resposta e dimensionamento revisado. Se sua operacao precisa de apoio para colocar o CGNAT em conformidade com a lei, fale com a Baronix para um diagnostico tecnico sem compromisso.