Acesso remoto com IP dinâmico: guia prático de DDNS
Descubra se você está atrás de CGNAT e configure um nome fixo para a sua rede, com comandos prontos para Linux, Windows e roteadores.
· Josué Juca
- O IP público da maioria das conexões muda sozinho. Um nome de DDNS acompanha essa mudança.
- Antes de configurar, descubra se o seu provedor usa CGNAT: nesse caso nenhum DDNS resolve sozinho.
- Depois da checagem do CGNAT (passo 0), a configuração leva 4 passos: nome, aviso de IP, teste e acesso seguro, de preferência por VPN.
Câmeras, servidor de arquivos, NAS, sistema interno, VPN: tudo isso fica na rede da empresa ou de casa, e acessar de fora costuma ser simples até o dia em que o provedor troca o seu endereço de IP. Este guia mostra como montar um acesso que sobrevive a essa troca, passo a passo.
Por que o IP muda
A maioria dos provedores entrega um IP público dinâmico: ele pode mudar quando o roteador reinicia, quando a energia cai ou apenas de tempos em tempos. Se você configurou o acesso remoto usando esse número, ele deixa de funcionar sem aviso. Um IP fixo resolve, mas costuma custar mais e nem sempre está disponível.
A alternativa é o DNS dinâmico (DDNS): você acessa sempre pelo mesmo nome e um pequeno programa avisa o serviço quando o IP muda.
Passo 0: descubra se o DDNS vai funcionar
Alguns provedores usam CGNAT, em que vários clientes compartilham o mesmo IP público. Nesse caso o IP que o seu roteador recebe não é acessível de fora e o redirecionamento de portas não funciona. Para saber, compare dois números:
- Abra a página de status do seu roteador e anote o IP da interface WAN.
- Veja qual IP a internet enxerga, por um site de "qual é o meu IP" ou pelo terminal:
curl -fsS https://api.ipify.org
Se os dois forem diferentes, ou se o IP da WAN começar por 100.64 a 100.127 (a faixa reservada ao CGNAT), você está atrás de CGNAT. As saídas são pedir um IP público ao provedor, usar IPv6 quando houver ou montar um túnel apoiado em um servidor externo.
Passo 1: crie o nome
Use um serviço de DDNS e crie um host, que é o nome fixo da sua rede, como minhaloja.ip.juk.re. Neste guia usamos o JUK.re DDNS como exemplo, mas a lógica é a mesma nos outros serviços do tipo.
Na etapa Conexão você escolhe como o aparelho vai avisar o IP novo. O painel mostra o tutorial certo para cada escolha.Ao final, o serviço gera um token para o host. Ele funciona como uma senha: não o publique e regenere-o se achar que vazou.
Alguém precisa informar o IP atual ao serviço. Pode ser um computador sempre ligado, um servidor ou o próprio roteador. Escolha o seu caso.
Linux e NAS (cron)
Este comando cria uma tarefa que consulta o IP a cada 15 minutos e envia ao serviço. Troque SEU_TOKEN pelo token do host:
(crontab -l 2>/dev/null | grep -v '/v1/update/'; echo '*/15 * * * * curl -fsS "https://gateway.juk.re/v1/update/SEU_TOKEN?myip=$(curl -fsS https://api.ipify.org)" >/dev/null') | crontab -
Entendendo as partes: o grep -v remove uma entrada antiga do mesmo serviço, para não duplicar; /15 * * * agenda a execução a cada 15 minutos; o curl interno descobre o seu IP e o ?myip= o envia.
Windows (PowerShell)
No PowerShell como administrador, este bloco registra uma tarefa agendada que repete a verificação a cada 15 minutos:
$acao = New-ScheduledTaskAction -Execute 'powershell.exe' -Argument '-NoProfile -Command "$ip = Invoke-RestMethod https://api.ipify.org; Invoke-RestMethod (''https://gateway.juk.re/v1/update/SEU_TOKEN?myip='' + $ip)"'
$gatilho = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 3650)
Register-ScheduledTask -TaskName 'JUKre DDNS' -Action $acao -Trigger $gatilho -Force
Roteadores
MikroTik, UniFi e pfSense/OPNsense têm suporte próprio a DNS dinâmico, e o caminho nos menus muda com a versão do firmware. Vale saber que nem todo roteador aceita um serviço personalizado: muitos modelos de TP-Link, por exemplo, só aceitam No-IP ou DynDNS. Nesse caso, rode um dos scripts acima em outro aparelho da rede.
E o IPv6?
O ipify tem dois endereços: api.ipify.org devolve o seu IPv4 e api6.ipify.org devolve o seu IPv6. Se você usa os dois, mande para cada registro (A e AAAA) o endereço certo: misturar os dois faz o registro apontar para o lugar errado.
O intervalo de 15 minutos é um bom equilíbrio. Como o aparelho só manda a atualização quando o IP muda, não há problema em checar com frequência.
Passo 3: teste
- Abra a página do host no painel e confira se o IPv4 (e o IPv6, se usar) aparecem preenchidos e se a última verificação foi atualizada.
- Pergunte ao DNS qual IP o nome devolve:
nslookup minhaloja.ip.juk.re
- Compare com o IP que você anotou no Passo 0. Se baterem, está funcionando.
Depois da primeira verificação, a página do host mostra os registros, a última verificação e a última mudança de IP.Ter um nome fixo facilita a vida, e também facilita para quem quiser atacar. Antes de abrir portas, pense no que você expõe:
| Serviço | Expor direto na internet? | Melhor alternativa |
|---|
| Acesso remoto do Windows (RDP) | Não | VPN |
| Painel do roteador | Não | VPN |
| NAS e câmeras | Evite | VPN ou túnel |
| Site público com HTTPS | Sim, com atualizações em dia | Firewall e monitoramento |
Uma VPN, como o WireGuard, deixa você usar tudo como se estivesse dentro da rede, com uma única porta exposta. Mantenha o firmware atualizado, use senhas fortes e autenticação em dois fatores.
Problemas comuns
| O que acontece | Causa provável | O que fazer |
|---|
| O nome aponta para o IP antigo | A atualização não está rodando | Confira o cron ou a tarefa agendada e se o token está correto |
| O nome resolve o IP certo, mas não conecta | CGNAT ou porta fechada | Refaça o Passo 0 e confira o redirecionamento de portas |
| Funciona de fora, mas não dentro da rede | O roteador não faz "NAT loopback" | Use o IP local ou um DNS interno quando estiver na rede |
| O registro mostra o IP errado em PC com IPv6 | IPv4 e IPv6 misturados | Atualize cada registro com o seu endereço (api e api6) |
Precisa de ajuda?
Se preferir não mexer no roteador ou quiser montar uma VPN segura, a nossa equipe de infraestrutura configura tudo e deixa documentado. E se quiser conhecer o serviço usado neste guia, veja o anúncio do JUK.re DDNS.