Como projetar a rede de um provedor de internet

Todo projeto de rede que dá errado começa pelo equipamento. O caminho correto é o inverso: quantos assinantes existem hoje, quantos existirão em 24 meses, qual o pacote médio contratado, qual a taxa de simultaneidade no horário de pico e qual a proporção de tráfego de vídeo. Esses cinco números determinam praticamente todas as decisões seguintes. Um provedor com 4 mil assinantes e pacote médio de 400 Mbps não precisa do mesmo roteador que um com 4 mil assinantes e pacote médio de 100 Mbps, embora os catálogos os tratem como iguais.

O contexto brasileiro reforça isso. Cerca de 22 mil provedores regionais respondem por mais da metade das conexões de banda larga fixa e por dois terços do investimento em rede do país. São milhares de operações de porte pequeno e médio, com equipe enxuta e capital de giro apertado, comprando em lotes pequenos. Nesse cenário, a margem de erro é estreita: comprar capacidade que só será usada em cinco anos imobiliza dinheiro que faria falta em fibra, e comprar pouco obriga a trocar tudo em dezoito meses.

A regra prática que funciona é projetar a topologia para cinco anos e comprar o equipamento para dois. A topologia é barata de planejar e cara de refazer; o equipamento é caro de comprar e barato de acrescentar, desde que o desenho tenha previsto onde ele entra. Isso significa decidir cedo onde ficará o BNG, onde ficará o CGNAT, quantos POPs de agregação existirão e como cada um se conecta ao anel, mesmo que metade disso só seja comprada depois.

Uma rede de provedor tem quatro camadas com gargalos completamente distintos, e tratá-las com o mesmo critério de compra é o erro mais caro do setor. O acesso — OLT, rádio, switches de bairro — define cobertura e é o que consome a maior parte do CAPEX. A agregação concentra o tráfego dos POPs e é onde normalmente vive o BNG. A borda conversa BGP com o mundo. O núcleo, em provedor de porte médio, muitas vezes nem existe como camada separada, e forçá-lo cedo demais só adiciona custo e complexidade.

O acesso satura por portas e por potência óptica. A agregação satura por sessões terminadas e por capacidade de encaminhamento agregado. A borda satura por memória de plano de controle e tamanho de FIB, não por gigabits: um roteador de borda pode estar com 20% de utilização de porta e ainda assim estar no limite porque a tabela de rotas cresceu. Confundir esses limites leva a comprar um roteador de 400 Gbps para resolver um problema que era de memória, ou a reforçar agregação quando o gargalo estava no trânsito.

Na prática, um desenho que se sustenta bem para provedor regional brasileiro é: switches de agregação com portas SFP+ nos POPs, anel ou malha parcial em fibra entre eles, um par de equipamentos de agregação e BNG no site principal, CGNAT separado quando o volume justifica, e duas bordas idênticas falando com trânsito e com o PTT local. Cada peça é substituível sem tocar nas outras, que é exatamente o que se quer quando o crescimento é imprevisível.

O LACNIC esgotou o pool geral de IPv4 em 19 de agosto de 2020. Desde então, crescer significa comprar endereços no mercado secundário a 25–30 dólares cada, o que coloca um /24 entre 6.400 e 7.700 dólares. Para um provedor que adiciona mil assinantes por ano, isso é uma despesa recorrente sem contrapartida operacional. Por isso o CGNAT deixou de ser uma alternativa de rede e virou premissa de plano de negócio em praticamente todo provedor regional brasileiro que ainda cresce.

Dimensionar CGNAT é um exercício de sessões, não de banda. A referência de projeto é de 100 a 200 sessões simultâneas por assinante residencial ativo, com picos maiores em domicílios com muitos dispositivos e TV conectada. Multiplique assinantes ativos por essa faixa e você tem o número a confrontar com a folha de dados do equipamento. Adote alocação determinística de blocos de portas: reduz drasticamente o volume de registros e é o que torna viável associar endereço público, porta e horário a um assinante — obrigação que o Marco Civil impõe ao provedor de conexão.

IPv6 nativo em pilha dupla é o que efetivamente alivia a tabela. Com boa parte do tráfego de vídeo e nuvem já acessível sobre IPv6, cada ponto de adoção tira carga do tradutor e estende a vida útil da plataforma comprada. O erro comum é tratar IPv6 como projeto futuro e dimensionar o CGNAT no cenário só-IPv4: você compra um equipamento maior do que precisará e ainda assim adia a migração. Planeje as duas coisas na mesma rodada de investimento.

O IX.br fechou março de 2026 com 50 Tbps agregados em 39 regiões metropolitanas. Para um provedor brasileiro, participar do PTT metropolitano mais próximo é hoje a decisão de rede com melhor relação entre custo e efeito: boa parte do tráfego de vídeo e de nuvem passa a ser entregue localmente, em vez de consumir trânsito internacional. A conta costuma fechar em poucos meses, e é isso que justifica trocar uma borda modesta por um roteador com memória e portas suficientes para sustentar peering de verdade.

Entrar no PTT exige ASN próprio, prefixo alocado e uma borda que aguente as sessões. O route server entrega milhares de prefixos de centenas de participantes; some a isso um ou dois trânsitos completos, cada um mantendo sua própria cópia da tabela na RIB, mais IPv6, e o requisito de memória cresce rápido. A FIB do hardware é um limite separado e físico: estourá-la faz o equipamento encaminhar por software e degradar de forma difícil de diagnosticar, geralmente durante o pico da noite.

Duas práticas evitam a maior parte dos incidentes de borda. A primeira é não levar tabela completa para dentro da rede: a agregação vive bem com rota padrão, e isso permite usar equipamento mais barato onde ele é mais numeroso. A segunda é filtrar tudo o que entra — limite máximo de prefixos por vizinho, filtros baseados em IRR e validação RPKI das rotas recebidas. O ecossistema brasileiro é dos mais ativos do mundo em publicação de ROA, e quem não valida aceita o que seus pares já descartaram.

A parte da rede que o assinante percebe primeiro raramente é o roteador de borda. É o BNG que termina sua sessão PPPoE ou IPoE, o RADIUS que autentica e aplica o plano contratado, o DNS recursivo que responde a cada clique e o cache que decide se o vídeo abre instantaneamente ou trava. Essas quatro funções custam pouco em hardware comparadas ao resto da rede, e são responsáveis pela maior parte das reclamações quando estão mal dimensionadas ou sem redundância.

DNS recursivo é o caso mais desproporcional: um par de servidores modestos evita uma classe inteira de chamados, e mesmo assim muitos provedores ainda apontam os assinantes para resolvedores públicos, entregando de graça dado de navegação e adicionando latência a cada consulta. RADIUS merece a mesma atenção: se ele cair, ninguém autentica, e a rede inteira parece estar fora do ar mesmo com todo o encaminhamento funcionando. Dois nós idênticos com base replicada resolvem isso por um custo irrelevante frente ao prejuízo.

Cache é onde o dinheiro aparece. Combinado com o peering no PTT, um par de servidores de cache bem posicionados na agregação tira do trânsito internacional a parcela mais volumosa do tráfego, justamente no horário em que o link custa mais caro. Servidores de duas gerações atrás, recondicionados certificados, cumprem essa função com folga; o que importa é disco, memória e placa de rede corretos, não o ano do chassi. É o investimento de melhor retorno em quase todo provedor regional.

Um provedor com vinte POPs e cinco modelos diferentes de switch tem, na prática, cinco redes. Cada modelo traz um firmware, um comportamento sob falha, um conjunto de comandos e um item de estoque. Padronizar um único switch de agregação e um único roteador de POP reduz o estoque de reposição, encurta o treinamento do técnico de campo, simplifica a automação de configuração e diminui o tempo de diagnóstico à noite, que é quando os problemas aparecem e quando há menos gente disponível.

A onda de consolidação em curso no Brasil torna isso ainda mais relevante. Provedores que compram concorrentes herdam parques heterogêneos, e provedores que pretendem ser comprados são avaliados também pela previsibilidade da sua operação. Redes neutras como V.tal, FiBrasil e I-Systems mudaram o desenho de quem revende capacidade em vez de construir tudo, e nesses casos a padronização do que resta sob controle próprio pesa ainda mais no valor da operação.

Estoque de reposição não precisa ser grande, precisa ser certo. Uma unidade sobressalente do switch padrão, uma fonte de cada tipo em uso, um conjunto de ópticas dos formatos empregados e o cabo de console adequado cobrem a maioria das falhas reais. Para plataformas já descontinuadas que continuam em produção, vale antecipar a compra da reposição enquanto ainda há oferta no mercado internacional, porque a disponibilidade dessas peças só diminui com o tempo.

Nenhum provedor brasileiro monta a rede inteira com equipamento novo, e nenhum monta a rede inteira com recondicionado. A decisão é por camada. Onde há risco de fim de vida próximo, onde a densidade da geração nova muda a economia do rack, ou onde o projeto precisa de suporte de fabricante, compra-se novo. Onde a plataforma é madura, abundante no mercado internacional e já dominada pela equipe, o recondicionado certificado entrega a mesma função por uma fração do preço.

A terceira condição, o equipamento descontinuado, resolve um problema diferente: manter em produção uma plataforma que o fabricante já não vende. É o caso de uma placa para um chassi antigo, de um receptor de headend que saiu de linha ou de um modelo de agregação que continua rodando em dezenas de POPs. Nesses casos, o valor não está no desconto e sim em existir a peça, e o acesso a inventário internacional é o que resolve.

No Brasil essa escolha pesa mais do que em outros mercados, porque a importação é onerada por II, IPI, ICMS e PIS/COFINS, e todos incidem sobre o valor do equipamento. Superdimensionar custa duas vezes: no preço e no tributo. Por isso a configuração exata importa tanto quanto o modelo, e por isso vale cotar a lista completa — incluindo ópticas, cabos DAC, fontes e trilhos — antes de fechar o projeto, e não item a item ao longo do ano.

Uma solicitação de cotação bem montada economiza semanas. O que realmente muda a qualidade da resposta são os números de rede, não a lista de equipamentos: assinantes ativos e projeção, pacote médio, pico medido, adoção de IPv6, número de POPs, trânsitos contratados e se já existe ASN. Com isso é possível apontar onde o dimensionamento está apertado, onde está sobrando e o que pode ser adiado para a rodada seguinte sem prejudicar o desenho.

Sobre logística, vale ter em mente o que é planejável: de Miami há frequência aérea diária para Campinas (VCP) e Guarulhos (GRU) e serviço marítimo regular até Santos, com trânsito na faixa de 16 a 22 dias. A importação é tributada por II, IPI, ICMS e PIS/COFINS e equipamentos de telecomunicações passam por homologação da ANATEL junto ao órgão regulador. Esses processos ficam com o importador e seu despachante; o que fornecemos é o equipamento e os dados técnicos e comerciais corretos para a operação.

Por fim, defina a condição aceitável por item antes de comparar propostas. Comparar uma cotação de equipamento novo com outra de recondicionado certificado não é comparação, é confusão: os dois números respondem a perguntas diferentes. Peça que a condição venha declarada linha a linha, junto com garantia, configuração completa e disponibilidade real, e a escolha deixa de depender de interpretação. É assim que trabalhamos: cada item cotado com condição explícita, ópticas e acessórios incluídos no escopo, atendimento em espanhol ou inglês e resposta habitual em um dia útil.