O roteiro é sempre o mesmo. Você abre a porta 554 no roteador, aponta um DDNS para a sua casa, testa de fora e nada. Reinicia o roteador, abre a porta de novo, troca de DDNS. Nada. O problema não está na sua configuração: está antes dela.
O que é CGNAT
O IPv4 tem cerca de 4 bilhões de endereços, e eles acabaram. Para continuar conectando clientes novos, o provedor passou a colocar dezenas ou centenas de casas atrás de um único IP público. É o CGNAT, de Carrier-Grade NAT: a mesma tradução de endereços que o seu roteador faz entre a sua rede e a internet, feita mais uma vez, dentro do provedor.
O efeito prático: a sua rede enxerga a internet, mas a internet não enxerga a sua rede. Quando você “abre uma porta” no roteador, abre a porta do seu roteador. O visitante, porém, bate na porta do provedor, e o provedor não sabe para qual dos clientes daquele IP entregar a conexão.
É a norma no Brasil, não a exceção. Vale para fibra, para rádio e para 4G e 5G, sem exceção conhecida no móvel.
Como confirmar que você está atrás de CGNAT
Leva dois minutos.
- Abra a página de administração do roteador e procure o IP da WAN (também chamado de IP externo ou IP do link).
- Num site do tipo “qual é o meu IP”, veja o endereço que a internet enxerga.
- Se os dois forem diferentes, você está atrás de CGNAT.
Um segundo sinal: se o IP da WAN começa com 100.64 até 100.127, é a faixa reservada exatamente para CGNAT. Endereços começando com 10., 172.16 a 172.31 e 192.168 também são privados e indicam a mesma coisa.
As saídas, da pior para a melhor
Abrir porta e usar DDNS
Não resolve CGNAT, pelo motivo acima. E mesmo quando resolve, porque você tem IP público, é a pior ideia da lista: uma câmera ou um DVR exposto na internet é alvo de varredura automática o dia inteiro. Senha de fábrica, firmware antigo e serviços abertos fizeram das câmeras a base de algumas das maiores botnets já registradas. Se precisa mesmo expor, troque a senha, atualize o firmware e restrinja o acesso por IP de origem. Se não precisa, não exponha.
Pedir IP público ao provedor
Alguns provedores oferecem, em geral por uma taxa mensal. Resolve o alcance, mas você continua expondo a câmera e continua dependendo de o provedor manter a condição a cada troca de plano.
IPv6
Com IPv6 não há escassez de endereço e não há CGNAT. Funciona quando os dois lados têm IPv6, o que ainda não é garantido em toda rede móvel e em todo escritório, e continua sendo uma câmera exposta, agora com um endereço maior.
O aplicativo do fabricante (P2P)
A câmera se conecta a um servidor do fabricante e o aplicativo também; o servidor faz a ponte. Funciona sem abrir nada, e é por isso que os fabricantes gostam. O custo é ficar preso ao aplicativo e à marca, gravar só no aparelho da sua casa e depender de um servidor que você não controla, muitas vezes fora do país.
VPN
WireGuard, Tailscale e afins criam um túnel entre o seu celular e a sua rede. É uma boa saída para quem sabe configurar e quer só acessar. Não grava nada fora da casa, e o túnel precisa de um ponto de saída que muitas vezes esbarra no mesmo CGNAT.
Um agente que conecta de dentro para fora
É como funciona qualquer serviço que precisa atravessar CGNAT sem gambiarra: um programa dentro da sua rede abre uma conexão de saída para um servidor conhecido e mantém essa conexão aberta. Saída sempre passa; é o que o seu navegador faz o dia inteiro. Por essa conexão o vídeo sobe e os comandos descem.
É o que o Invigil Bridge faz. Ele roda num Linux, num Raspberry Pi ou num Windows da sua rede, puxa o vídeo das câmeras pela rede local e envia para o nosso datacenter, cifrado. Nenhuma porta aberta, nenhum DDNS, nenhum IP fixo.
Como o bridge se comporta na prática
- Só conexão de saída. O suporte nunca precisa entrar no seu roteador.
- Reconecta sozinho. Caiu a luz ou a internet, ele volta quando a rede voltar.
- Passa em rede fechada. Se a rede bloqueia UDP, ele cai para uma conexão na porta 443, a mesma de qualquer site seguro.
- Não depende da nuvem para lembrar da configuração. Ela fica cifrada em disco; ele reinicia sem esperar ninguém.
A instalação é um comando que o painel mostra pronto. Escrevemos um passo a passo para quem vai usar um Raspberry Pi: Raspberry Pi como ponte das câmeras para a nuvem.
E o DVR que já transmite?
Se o seu gravador tem a função de transmissão RTMP (a mesma do YouTube), ele consegue enviar um canal sem instalar nada. Serve para a câmera mais importante; para o gravador inteiro, o bridge continua sendo o caminho, porque quase todo DVR transmite um canal por vez.