Qualquer pessoa que já hospedou um pequeno serviço em casa e depois se mudou de apartamento conhece o padrão. O novo ISP nos coloca atrás de NAT de grau de transportadora, nosso IPv4 público se torna um endereço compartilhado usado por centenas de outros assinantes, e cada tutorial “apenas encaminhe a porta” fica em silêncio. Cloudflare Tunnel e algumas ferramentas similares resolvem isso silenciosamente e barato. Testamos sete delas em uma rede doméstica real com CGNAT por duas semanas. Esta é a lista de trabalho.
O que procurar em um aplicativo de bypass CGNAT
O problema não é um problema. São três:
- Alcançar um serviço atrás de nossa LAN doméstica sem nenhuma porta de entrada
- Criptografar o tráfego para que o provedor do túnel ou o salto intermediário não possa lê-lo
- Não pagar uma assinatura a menos que o conjunto de recursos realmente justifique
Uma solução CGNAT que funcione deve nos dar:
- Conexão apenas de saída de nossa casa para um relé em que confiamos
- Criptografia de ponta a ponta completa, não apenas TLS para o relé
- Um nome de host estável que possamos apontar para nosso telefone ou laptop
- Limites de largura de banda razoáveis para streaming e downloads
- Clientes Steam Deck, Windows, macOS e Linux para portabilidade real
Comparação rápida
| Aplicativo | Melhor para | Plataformas | Plano gratuito | Recurso destacado |
|---|---|---|---|---|
| Cloudflare Tunnel | Serviços HTTPS públicos | Windows, macOS, Linux | Camada gratuita | Domínio personalizado gratuito e TLS |
| Tailscale | Rede pessoal em todos os nossos dispositivos | Windows, macOS, Linux, iOS, Android | Grátis para 3 usuários, 100 dispositivos | Rede WireGuard sem configuração |
| ZeroTier | Rede de estilo LAN com roteamento granular | Windows, macOS, Linux, iOS, Android | Grátis para 25 dispositivos | LAN emulada de camada 2 |
| ngrok | URL pública rápido para uma porta local | Windows, macOS, Linux | Camada gratuita com limites de taxa | HTTPS instantâneo em um comando |
| WireGuard | Túnel DIY por meio de um VPS barato | Windows, macOS, Linux, iOS, Android | Grátis, código aberto | Túnel mais rápido que testamos |
| Twingate | Acesso remoto sem confiança para equipes | Windows, macOS, Linux, iOS, Android | Grátis para 5 usuários | Controle de acesso ciente de identidade |
| Localtonet | Túnel reverso simples com TCP/UDP | Windows, macOS, Linux | Camada gratuita | Protocolos não-HTTP suportados |
Os aplicativos
1. Cloudflare Tunnel, melhor em geral para serviços HTTPS públicos
Cloudflare Tunnel é a resposta direta ao CGNAT para qualquer pessoa que hospede um servidor Plex, uma instância Home Assistant ou um pequeno site em casa. Executamos o daemon cloudflared gratuito, fazemos login com nossa conta Cloudflare, e Cloudflare retransmite HTTPS para nossa casa. Domínio personalizado e TLS gratuito inclusos. As regras Zero Trust controlam quem acessa o quê.
Onde fica aquém: Apenas HTTP/HTTPS para a camada gratuita. Serviços não-web precisam do Cloudflare Access com um componente warp no lado do cliente.
Preços:
- A camada gratuita cobre túneis ilimitados e 50 usuários por organização Zero Trust.
- O Access pago adiciona SSO e logs de auditoria a partir de aproximadamente $7 por usuário por mês.
Plataformas: Windows, macOS, Linux, Docker, ARM (Raspberry Pi)
Download: GitHub Releases · Publisher site
Resumo: A recomendação padrão. Grátis, rápido, confiável e sobrevive às mudanças de ISP.
2. Tailscale, melhor para uma rede pessoal em todos os nossos dispositivos
Tailscale constrói uma rede WireGuard em todos os nossos dispositivos com praticamente nenhuma configuração. No momento em que o instalamos em um laptop e um servidor doméstico, eles podem se alcançar pelo nome do host mesmo de um café. MagicDNS dá a cada dispositivo um nome memorável. Steam Deck, iOS, Android, todos funcionam.
Onde fica aquém: A camada gratuita é limitada a três usuários. Não é destinado a serviços publicamente acessíveis a menos que usemos o Tailscale Funnel.
Preços:
- O plano gratuito pessoal cobre 3 usuários e 100 dispositivos.
- Personal Plus aproximadamente $5 por usuário por mês para ACLs avançadas.
Plataformas: Windows, macOS, Linux, iOS, Android, Steam Deck
Download: Publisher site · GitHub Releases
Resumo: A escolha se apenas nós e nossos próprios dispositivos precisamos de acesso. A configuração leva cinco minutos.
3. ZeroTier, melhor para rede de estilo LAN com roteamento granular
ZeroTier precede o Tailscale e emula uma LAN de camada 2 na internet. Mesma subnet em três continentes se quisermos. Faz sentido se executarmos games ou protocolos que assumem uma LAN. O controlador é a nuvem ZeroTier ou um ztncui auto-hospedado.
Onde fica aquém: Maior overhead de CPU que o WireGuard. A interface do usuário está desatualizada. A camada gratuita é limitada a 25 dispositivos.
Preços:
- Grátis para até 25 dispositivos.
- Camadas pagas a partir de aproximadamente $5 por mês para 100+ dispositivos.
Plataformas: Windows, macOS, Linux, iOS, Android
Download: Publisher site · GitHub Releases
Resumo: Para o caso de uso de emulação LAN. Jogos LAN retrô entre casas funcionam fora da caixa.
4. ngrok, melhor para uma URL pública rápido
ngrok resolve o problema “precisamos demonstrar este serviço local para alguém agora”. Um comando transforma uma porta local em uma URL HTTPS. Tunelamento TCP com um plano pago. A camada gratuita é ótima para uso ocasional.
Onde fica aquém: URLs gratuitas são aleatórias a cada sessão. Largura de banda limitada na camada gratuita. Não foi feito para hospedagem 24/7.
Preços:
- Camada gratuita com limites de taxa.
- Plano pessoal a partir de aproximadamente $10 por mês para um domínio reservado.
Plataformas: Windows, macOS, Linux
Download: Publisher site
Resumo: Para túneis temporários, não uma espinha dorsal do servidor doméstico. Cloudflare Tunnel é a melhor escolha padrão para qualquer coisa de longa duração.
5. WireGuard, melhor para um túnel DIY por meio de um VPS barato
WireGuard é o protocolo VPN moderno de nível de kernel por trás do Tailscale. Pule o wrapper e execute diretamente em relação a um VPS de $5 por mês. Obtemos um IP público no VPS e podemos fazer proxy reverso de qualquer coisa que quisermos. Zero conhecimento de terceiros sobre nosso tráfego.
Onde fica aquém: Fazemos a encanação. Nginx ou Caddy no VPS lidam com o roteamento. Curva de aprendizado mais íngreme do que as opções gerenciadas.
Preços:
- O WireGuard em si é gratuito.
- VPS a partir de aproximadamente $4 por mês em provedores como Hetzner ou Vultr.
Plataformas: Windows, macOS, Linux, iOS, Android
Download: Publisher site · GitHub Releases
Resumo: Para quem quer controle total e não se importa com uma noite de configuração.
6. Twingate, melhor para acesso sem confiança da equipe
Twingate substitui VPN tradicional com acesso consciente da identidade. Cada usuário se autentica através de seu provedor de SSO, depois acessa apenas os recursos que seu grupo é autorizado. Mais adequado para uma pequena equipe do que para um operador homelab solo.
Onde fica aquém: Não é destinado a serviços públicos. A camada gratuita é limitada a cinco usuários.
Preços:
- Camada gratuita para 5 usuários e 10 recursos.
- Pagos a partir de aproximadamente $10 por usuário por mês.
Plataformas: Windows, macOS, Linux, iOS, Android
Download: Publisher site
Resumo: Para equipes distribuídas que compartilham um laboratório doméstico. Usuários solo podem pular.
7. Localtonet, melhor para protocolos não-HTTP
Localtonet suporta tunelamento TCP, UDP e HTTP através de um relé hospedado. Útil para expor um servidor de jogo, uma porta SSH ou um servidor Minecraft atrás de CGNAT sem pagar a taxa do ngrok. Subdomínios personalizados nas camadas pagas.
Onde fica aquém: Mais novo que os outros; menos documentação da comunidade. Limites de camada gratuita em túneis simultâneos.
Preços:
- Camada gratuita com um túnel estático.
- Pagos a partir de aproximadamente $4 por mês para mais túneis e subdomínios personalizados.
Plataformas: Windows, macOS, Linux
Download: Publisher site
Resumo: A escolha quando precisamos de encaminhamento TCP ou UDP, não apenas HTTPS.
Como escolher o correto
Se queremos publicar um serviço na web aberta: Cloudflare Tunnel.
Se apenas precisamos de nossos próprios dispositivos para acessar nossa casa: Tailscale.
Se queremos emulação LAN de jogos ou protocolos: ZeroTier.
Se precisamos de uma URL pública pelos próximos vinte minutos: ngrok.
Se queremos controle total e um VPS barato: WireGuard.
Se executamos um pequeno laboratório doméstico em equipe: Twingate.
Se precisamos de encaminhamento TCP ou UDP para um servidor de jogo: Localtonet.
Perguntas frequentes
Qual é a melhor maneira gratuita de contornar CGNAT?
Cloudflare Tunnel para serviços HTTPS e Tailscale para acesso de dispositivo para dispositivo. Ambos têm camadas gratuitas permanentes que cobrem a maioria do uso doméstico.
Eles realmente penetram CGNAT?
Sim. Todos eles usam conexões apenas de saída de nossa casa para um relé, o que torna o CGNAT irrelevante.
Cloudflare Tunnel é melhor que Tailscale?
Trabalhos diferentes. Cloudflare Tunnel é para serviços públicos. Tailscale é para acesso de rede privada entre nossos próprios dispositivos.
Posso usar um deles para contornar CGNAT para jogos?
Para servidores de jogo que hospedamos em casa, ZeroTier ou Localtonet. Para jogar jogos multijogador com amigos, a emulação LAN do ZeroTier lida bem com títulos exclusivos de LAN.
Qual usa a menor sobrecarga de largura de banda?
WireGuard, por uma pequena margem. Tailscale e ZeroTier colocam seu próprio nível de gerenciamento sobre protocolos derivados de WireGuard.
