Como abrir portas no roteador

Seu roteador controla a forma como os dados trafegam entre sua rede doméstica e a internet. Quando você acessa um site, assiste a um filme em streaming ou joga online, esse tráfego passa por pontos de entrada numerados chamados portas. Cada serviço ou aplicativo decide qual porta usará para a comunicação entre o cliente e o servidor.

A maioria das portas permanece fechada, o que ajuda a impedir que terceiros se conectem diretamente à sua rede. Entretanto, às vezes, um serviço precisa de um caminho direto para sua rede, como um jogo online ou um servidor de mídia. Nesses casos, você pode querer abrir as portas relevantes manualmente e permitir que o tráfego desses serviços interaja livremente com os dispositivos em sua rede. Este guia explica como fazer isso com segurança.

Entendendo portas e encaminhamento de portas

Nas redes, abrir uma porta e encaminhar portas são conceitos intimamente relacionados, mas não exatamente iguais. Abrir uma porta significa simplesmente permitir o tráfego externo através dela, enquanto encaminhar portas também informa ao roteador qual dispositivo na sua rede deve receber esse tráfego. Em redes domésticas, ambos os processos ocorrem simultaneamente, portanto este guia utiliza os dois termos de forma intercambiável.

O que é uma porta?

Uma porta é um canal numerado que ajuda seu dispositivo a lidar com diferentes tipos de tráfego de internet. Cada conexão (seja para um site, um aplicativo de e-mail ou uma chamada de vídeo) usa uma porta para manter seus dados separados de outras atividades na rede.

Existem 65.536 portas no total. Algumas portas são reservadas para serviços padrão da internet, como a 443 para HTTPS, a 587 ou 465 para e-mail seguro e a 53 para o Sistema de Nomes de Domínio (DNS). As demais são livres para uso de aplicativos conforme a necessidade.

Ao se conectar a um site, seu roteador atribui uma porta de saída temporária a essa conexão. Esse número ajuda o roteador a rastrear qual dispositivo fez a solicitação e a retornar os dados para o local correto. Isso faz parte do funcionamento da Tradução de Endereços de Rede (NAT), o processo que permite que vários dispositivos compartilhem uma conexão de internet sem misturar o tráfego.

Por que abrir portas do roteador?

Os roteadores bloqueiam tráfego inesperado da internet por padrão. Graças ao NAT (Acesso Direcionado à Rede), conexões externas só conseguem ver o endereço IP público do roteador, e não os dispositivos individuais da sua rede. Isso impede que dispositivos externos acessem sua rede sem a sua permissão, mas também impede que certos dispositivos se conectem diretamente à sua rede.

O encaminhamento de portas altera esse comportamento, criando uma regra que permite que dados externos em uma porta escolhida cheguem a um dispositivo específico dentro da sua rede. É isso que possibilita hospedar serviços por conta própria (como pequenos sites, ferramentas de compartilhamento de arquivos ou aplicativos de acesso remoto), além de permitir conexões diretas a serviços externos específicos.

Alguns roteadores conseguem lidar com isso automaticamente por meio do Universal Plug and Play (UPnP), que permite que certos aplicativos abram e fechem portas temporariamente por conta própria. Muitos jogos online, aplicativos de chat e ferramentas ponto a ponto (P2P) usam esse recurso para conectar jogadores ou compartilhar arquivos sem configuração adicional.

Se o UPnP não funcionar ou se você o desativou por motivos de segurança, é possível abrir portas manualmente por meio do encaminhamento de portas. Isso instrui o roteador: "Quando os dados chegarem a esta porta, envie-os para este dispositivo específico". É o que permite que um console de jogos hospede partidas multiplayer, um computador compartilhe uma biblioteca de mídia ou que um sistema de câmeras seja visualizado remotamente, por exemplo.

Riscos de segurança do encaminhamento de portas

Abrir uma porta significa que uma parte da sua rede está exposta. Scanners e bots vasculham a internet incessantemente, procurando por portas abertas para testar. Se encontrarem a sua e o serviço por trás dela não estiver protegido, ela poderá ser explorada.

Veja o que pode acontecer:

• Acesso não autorizado: invasores costumam sondar portas comuns para verificar quais serviços estão em execução. Isso pode ser, por exemplo, uma página de login de um sistema de câmeras ou um servidor de arquivos. Se essa página estiver acessível pela internet e a senha for comprometida, o invasor pode obter controle total do dispositivo.
• Disseminação de malware: invasores e ferramentas automatizadas frequentemente procuram por portas abertas associadas a serviços desatualizados ou sem patches. Sistemas expostos podem ser infectados ou usados ​​para distribuir malware.
• Ataques de negação de serviço (DoS): servidores de jogos e hosts domésticos podem ser sobrecarregados com tráfego malicioso direcionado à sua porta aberta, derrubando-os.
• Regras esquecidas: as pessoas abrem uma porta para um projeto, deixam-na como está e, meses depois, esquecem-se de que ela existe, o que representa um risco de segurança.

Como configurar um endereço IP estático (e por que você precisa dele)

A maioria dos roteadores usa o Protocolo de Configuração Dinâmica de Hosts (DHCP) para atribuir a cada dispositivo um endereço local temporário, como 192.168.0.101 ou 192.168.1.105. Esses endereços mudam sempre que o roteador é reiniciado ou o dispositivo se reconecta. Se a sua regra de encaminhamento de portas apontar para um endereço antigo, os dados recebidos não chegarão ao destino.

Configurar um IP estático resolve esse problema, fixando esse endereço para que o roteador sempre envie tráfego ao mesmo dispositivo. Existem duas maneiras de fazer isso: configurando-o no roteador ou no próprio dispositivo.

Como localizar o endereço IP do seu roteador e configurar um IP estático

Para acessar a interface web do roteador, você precisará do seu endereço IP interno. A maioria dos roteadores usa 192.168.1.1, 192.168.0.1 ou 10.0.0.1, mas veja como confirmar:

• Windows: abra o Prompt de Comando, digite ipconfig e pressione a tecla Enter. A linha Gateway Padrão mostra o endereço IP do seu roteador.
• macOS: abra o Terminal, digite netstat -nr | grep default e pressione a tecla Enter.
• Linux: no Terminal, digite ip route | grep default e pressione a tecla Enter.

Você também pode encontrar essas informações em um adesivo no roteador ou no manual do fabricante.

Ao fazer login, digite o endereço diretamente na barra de endereços do seu navegador (por exemplo, http://192.168.1.1). Alguns navegadores tentam usar HTTPS por padrão, o que pode impedir o carregamento da página de login. Se isso acontecer, você pode alternar para HTTP digitando "http://" na barra de endereços do navegador em vez de "https://". Seu navegador pode exibir um aviso e oferecer uma opção avançada com a mensagem "Acessar o site" ou similar. Caso essa opção não apareça, você pode desativar temporariamente o modo somente HTTPS nas configurações do seu navegador, mas lembre-se de reativá-lo depois.

Após acessar as configurações, procure por um recurso chamado "reserva DHCP", "reserva de endereço" ou "aluguel estático". Embora o nome varie, esse recurso vincula o endereço MAC (Controle de Acesso de Mídia) do dispositivo a um endereço IP fixo no seu intervalo DHCP. Habilite esse recurso, caso ainda não esteja ativado, selecione o dispositivo para o qual deseja um IP estático e escolha "Adicionar reserva DHCP" ou similar. Normalmente, você precisará inserir o endereço MAC do dispositivo e o IP que deseja que ele receba, e então o roteador sempre atribuirá esse mesmo IP ao dispositivo.

Observação: normalmente, você pode encontrar o endereço MAC de um dispositivo em suas configurações ou por meio da interface de linha de comando. A última seção deste guia aborda como localizar o endereço MAC de dispositivos comuns.

Como configurar manualmente um IP estático em vários dispositivos

Essa pode ser a melhor opção se você não conseguir acessar as configurações do seu roteador ou se o seu roteador não permitir reservas de DHCP, por exemplo.

Observe que você deve escolher um endereço IP que esteja dentro do seu intervalo local, mas que ainda não esteja em uso. Você pode verificar isso consultando o IP e a máscara de sub-rede atuais do seu dispositivo — evite escolher um endereço dentro do intervalo DHCP automático do seu roteador (que geralmente começa em torno de .100).

Note que, ao configurar um IP estático, você precisará inserir alguns dados manualmente:

• Máscara de sub-rede, geralmente 255.255.255.0.
• Gateway padrão, que é o endereço IP do seu roteador.
• Servidor DNS, que pode ser o endereço IP do seu roteador ou um DNS público como 8.8.8.8.

Windows 11

1. Acesse Settings (Configurações) > Network & Internet (Rede e Internet) e escolha sua conexão Wi-Fi ou Ethernet.
   
2. Selecione Properties (Propriedades do ) e clique em Edit (Editar) ao lado de IP assignment (Atribuição de IP). Se você estiver usando uma conexão com fio, pode clicar na sua rede Ethernet para acessar a mesma página de configurações.
   
3. Selecione Manual, desative a opção IPv4 e digite o IP escolhido, além da máscara de sub-rede, gateway e DNS. Clique em Save (Salvar) ao concluir.
   

macOS

1. Acesse System Settings (Ajustes do Sistema) > Network (Rede). Você verá uma lista dos tipos de conexão disponíveis, como Wi-Fi, Ethernet ou Thunderbolt Bridge. Selecione aquele que você está usando no momento.
   
2. Em sua conexão ativa, escolha a rede à qual você está conectado e clique em Details (Detalhes).
   
3. Na aba TCP/IP, ajuste a opção Configure IPv4 (Configurar IPv4) para Manually (Manualmente) e digite seu endereço IP, máscara de sub-rede e endereço do roteador. Clique em OK para salvar as configurações. Observe que você pode deixar as configurações de DNS em branco, a menos que sua rede não forneça endereços DNS automaticamente ou que você prefira usar endereços específicos.
   

Linux

1. Abra as configurações de rede do seu sistema (por exemplo, Settings (Configurações) > Network (Rede) no GNOME), escolha sua conexão com fio ou Wi-Fi e clique no ícone de engrenagem.
   
2. Na aba IPv4, altere a opção IPv4 Method (Método IPv4) para Manual e digite os valores do IP, máscara de sub-rede, gateway e DNS. Clique em Apply (Aplicar) para salvar.
   

Em servidores sem interface gráfica, use o comando nmcli ou edite o arquivo de configuração de rede (como um arquivo de configuração Netplan ou systemd-networkd) para definir as mesmas informações.

Passo a passo: como abrir portas no roteador

Primeiro, confirme se o seu dispositivo está usando o endereço IP estático que você configurou. Você pode verifica-lo na lista de clientes DHCP do seu roteador ou nas configurações de rede do seu dispositivo. Se tudo estiver correto, você está pronto para configurar o encaminhamento de portas.

O processo de encaminhamento de portas varia ligeiramente de acordo com a marca do roteador, mas a maioria segue o mesmo padrão. Estas instruções irão guiá-lo pelo processo. Primeiro, acesse o painel de controle do seu roteador, conforme descrito na seção acima.

Acesse a seção de encaminhamento de portas

Após fazer login, procure um menu com o nome Redirecionamento de Portas, Redirecionamento de Intervalo de Portas, Servidores Virtuais ou Mapeamento de Portas no roteador. Todos esses termos se referem à mesma coisa.

Alguns roteadores agrupam essas configurações em seções como NAT, Configurações Avançadas ou Firewall, enquanto outros as agrupam em categorias como Aplicativos, Jogos ou WAN. Se você não encontrar a opção de encaminhamento de portas diretamente na página principal, explore os menus Avançado ou Rede do seu roteador.

Adicione uma regra de encaminhamento de portas

Depois de encontrar as configurações relevantes, você pode começar a habilitar o encaminhamento de portas. O processo geralmente é o mesmo para a maioria dos roteadores. Cada regra que você definir informará ao seu roteador qual tráfego de entrada encaminhar e para onde enviá-lo. Normalmente, você preencherá o seguinte:

• Nome ou descrição do serviço: uma etiqueta para sua referência, como "Servidor de Minecraft" ou "Transmissão da Câmera".
• Porta externa: a porta do seu roteador que aceitará conexões de entrada (ex.: 25565 para Minecraft). A maioria dos aplicativos e serviços que exigem encaminhamento de portas especifica quais portas utilizam — portanto, você pode consultar a documentação oficial ou as páginas de suporte deles.
• Porta interna: geralmente é a mesma que a porta externa. Você pode inserir o número da porta que seu dispositivo ou aplicativo usa internamente, se for diferente. Porém, se não tiver certeza, deixe igual à porta externa, pois isso funciona para a maioria dos aplicativos.
• Protocolo: selecione TCP, UDP ou Ambos (TCP/UDP) dependendo do que o aplicativo exige. A maioria dos serviços web ou baseados em arquivos usa o Protocolo de Controle de Transmissão (TCP), enquanto alguns jogos ou aplicativos de streaming usam o Protocolo de Datagrama do Usuário (UDP) ou ambos. Para encontrar o protocolo correto, consulte a documentação oficial do aplicativo ou o site de suporte — se você não tiver certeza, geralmente pode selecionar Ambos (TCP/UDP) sem problemas.
• Endereço IP interno: digite o endereço IP estático que você atribuiu ao dispositivo anteriormente. Alguns roteadores oferecem uma lista suspensa de dispositivos conectados, então você pode não precisar digitar esse endereço manualmente.
• Habilitar ou Ativar: certifique-se de que esta opção esteja ativada; caso contrário, a regra não terá efeito. Clique em Salvar ou Aplicar quando terminar.

Para guias de encaminhamento de portas específicos para roteadores, confira esta publicação.

Como verificar se as portas estão abertas

Depois de adicionar uma regra de encaminhamento de portas, você deve verificar se ela está funcionando. Existem duas maneiras simples de fazer isso: diretamente do seu computador ou por meio de um verificador online.

Através da linha de comando

Windows

1. Abra o PowerShell.
2. Digite Test-NetConnection [seu IP público] -Port [número da porta] e pressione Enter. Por exemplo: Test-NetConnection 203.0.113.15 -Port 8080
3. Se você vir TcpTestSucceeded: True, a porta está aberta e respondendo.

macOS ou Linux

1. Abra o Terminal.
2. Digite nc -zv [seu IP público] [número da porta] e pressione Enter. Exemplo: nc -zv 203.0.113.15 8080.
3. Se a porta estiver acessível, você geralmente verá uma mensagem como: "Conexão com 203.0.113.15 porta 8080 [tcp/someService] bem-sucedida!"
4. Sempre faça o teste com seu IP público (que você pode encontrar usando a ferramenta de endereço IP da ExpressVPN), e não com seu IP local; caso contrário, você estará apenas verificando sua rede interna.

Através de verificadores de portas online

Você também pode testar a partir de fora da sua rede. Sites como Canyouseeme.org, YouGetSignal e Port Checker mostrarão se uma porta está aberta ou fechada. Eles detectarão seu IP público automaticamente; basta inserir o número da porta.

Certifique-se de que o aplicativo ou dispositivo que usa essa porta esteja ativo durante o teste. Se ele não estiver em execução, a ferramenta mostrará a porta como fechada, mesmo que a regra do seu roteador esteja correta.

Como solucionar problemas de portas fechadas

Se um teste mostrar que sua porta está fechada quando deveria estar aberta, tente estas soluções:

• Configuração do roteador e do modem: se você tem um modem fornecido pelo seu provedor de internet e um roteador Wi-Fi, precisará encaminhar a mesma porta em ambos os dispositivos. No modem do seu provedor, o endereço IP interno encaminhado deve ser aquele do seu roteador Wi-Fi; no roteador, o endereço IP interno encaminhado deve ser aquele do seu dispositivo. Alternativamente, configure o modem no modo bridge para que apenas um roteador lide com o encaminhamento.
• Configurações de firewall: o firewall do seu computador ou dispositivo pode estar bloqueando a porta. Desative o firewall temporariamente para testar. Se você vir mensagens como "Sem internet, protegido”, isso pode significar que as permissões de rede local do seu dispositivo estão configuradas incorretamente.
• IP incorreto: confirme se a regra de porta está atribuída ao endereço IP correto do dispositivo. Se o endereço IP do dispositivo mudou, atualize a regra nas configurações do seu roteador.
• Restrições do provedor de internet: alguns provedores de internet bloqueiam conexões de entrada em determinadas portas, como a 25. Tente uma porta diferente ou entre em contato com seu provedor.
• NAT de nível de operadora (CGNAT): se o endereço IP da rede de longa distância (WAN) do seu roteador começar com 100.64.x.x, seu provedor de internet está usando CGNAT e vários clientes compartilham o mesmo endereço IP público. Isso impossibilita o encaminhamento de portas tradicional, pois você não pode rotear conexões diretamente para dispositivos na sua rede. Para usar o encaminhamento de portas, você pode solicitar ao seu provedor de internet um endereço IP público exclusivo (dedicado) ou usar uma rede virtual privada (VPN) que suporte encaminhamento de portas, embora não recomendemos este último método.

Casos de uso específicos para encaminhamento de portas

O encaminhamento de portas não serve apenas para hospedar grandes servidores web. Ele também é necessário em configurações comuns (consoles de jogos, desktops remotos ou pequenas ferramentas auto-hospedadas) que precisam de um caminho livre através do roteador.

Abrir portas para jogos

Muitos jogos online dependem de portas fixas e conhecidas para se comunicar com os servidores do jogo ou conectar jogadores diretamente. Quando essas portas permanecem fechadas, você frequentemente enfrentará lentidão ou falhas na busca de partidas. O encaminhamento de portas permite uma conexão mais estável e direta entre seu console ou PC e a rede do jogo.

Sempre consulte a página de suporte ou a documentação oficial do jogo antes de configurar novas regras. Os números de porta podem mudar com atualizações ou variar entre plataformas — e usar números desatualizados pode impedir o funcionamento da conexão.

Abrir a porta 443

A porta 443 é a porta padrão para tráfego HTTPS. Caso hospede uma interface web ou aplicativo em sua rede doméstica que já utiliza HTTPS (como um serviço de armazenamento conectado à rede, um painel de controle de um NAS ou um site auto-hospedado), você precisará encaminhar a porta utilizada por esse serviço para que ele possa ser acessado a partir de fora da sua rede.

Se o serviço usar a porta HTTPS padrão (443), você não precisará incluir o número da porta no URL (ex.: https://minharede.ddns.net). Se o serviço usar uma porta HTTPS diferente da padrão, você precisará incluir o número da porta (ex.: https:// minharede.ddns.net:8443).

Alternativas mais seguras ao encaminhamento de portas

Se você precisa apenas de acesso remoto a um dispositivo fora da sua rede doméstica, estas opções a seguir são mais seguras e fáceis de gerenciar:

• UPnP: permite que aplicativos compatíveis abram e fechem portas automaticamente quando necessário. A maioria dos roteadores as fecha novamente em seguida. Roteadores mais antigos ou mal configurados já expuseram controles UPnP à internet, portanto mantenha o firmware atualizado e use-o somente em redes confiáveis.
• Conexões em nuvem ou de retransmissão: alguns aplicativos e dispositivos modernos conseguem se conectar com segurança sem abrir portas. Por exemplo, o Plex (um aplicativo de servidor de mídia) e os dispositivos NAS da Synology usam servidores de retransmissão criptografados para conectar seu sistema doméstico à sua conta em nuvem. Você pode transmitir ou acessar arquivos remotamente sem expor sua rede ao tráfego de entrada direto.
• Acesso remoto de confiança zero: utiliza um modelo tipo "nunca confiar, sempre verificar" para autenticar cada sessão individualmente e rotear o tráfego por meio de túneis criptografados. Ao contrário do encaminhamento de portas, não expõe nenhuma porta aberta à internet — o acesso é concedido apenas a usuários verificados.

VPNs e encaminhamento de portas

Embora muitos usuários ainda dependam do encaminhamento de portas, atualmente existem opções mais seguras para acesso remoto.

Acesse sua rede doméstica com segurança usando uma VPN de acesso remoto

Se você precisar se conectar aos seus dispositivos domésticos de fora da sua rede, uma VPN de acesso remoto é uma alternativa mais segura ao encaminhamento de portas tradicional.

Em vez de abrir várias portas para a internet, você expõe apenas uma porta segura, geralmente usando protocolos como WireGuard, OpenVPN ou Internet Protocol Security (IPSec). Todo o seu tráfego então trafega por um túnel criptografado até sua rede doméstica.

Observação: uma VPN de acesso remoto é uma VPN que você hospeda em seu próprio roteador ou NAS. VPNs para consumidores, como a ExpressVPN, não fornecem acesso seguro à sua rede doméstica: elas criptografam o tráfego de saída dos seus dispositivos.

VPNs para consumidores que permitem o encaminhamento de portas (e por que isso é arriscado)

Como mencionado acima, alguns provedores de internet usam CGNAT, que atribui o mesmo endereço IP público a vários clientes. Nesses casos, o tráfego de entrada da internet nunca chega ao seu roteador, portanto o encaminhamento de portas comum não funcionará.

Uma VPN para consumidores pode contornar isso roteando sua conexão por meio de sua própria rede, atribuindo a você um endereço IP público que suporte tráfego de entrada. Algumas VPNs permitem o encaminhamento limitado de portas dentro do túnel criptografado, o que pode tornar alguns serviços auto-hospedados acessíveis.

No entanto, isso cria riscos de privacidade e segurança, pois permitir conexões de entrada significa expor seu dispositivo ou serviço à internet. É por isso que a ExpressVPN não oferece suporte ao encaminhamento de portas: ele pode aumentar os riscos de segurança e reduzir a proteção geral da privacidade. Você pode configurar o encaminhamento de portas em um roteador que execute a ExpressVPN, mas esse tráfego sairá do túnel criptografado e não será protegido pela sua conexão VPN.