CGNAT: warum mobile Proxy-IP-Adressen geteilt werden und warum das wichtig ist

Wie funktioniert Carrier-grade NAT?

Denken Sie an drei Adressschichten.

1. Das Telefon oder Modem erhält vom Anbieter eine private Adresse, oft aus 100.64.0.0/10. Diese Adresse ist aus dem Internet nicht erreichbar.
2. Das NAT-Gateway des Anbieters verwaltet eine Tabelle, die jede private Adresse und Port einem öffentlichen Adresse und Port zuordnet.
3. Das Internet sieht nur die öffentliche Adresse. Tausende von Sitzungen verschiedener Nutzer können gleichzeitig darüber laufen, jeweils mit eigenem Port.

RFC 6598 hat 2012 den Bereich 100.64.0.0/10 geschaffen, damit Anbieter auf dieser Ebene nicht mehr Heimnetzbereiche wie 192.168.0.0/16 verwenden, was zu Routing-Konflikten führte.

Warum macht CGNAT mobile IPs schwerer blockierbar?

Weil ein Bann einer Adresse alle dahinterliegenden Nutzer trifft. Eine Webseite, die eine CGNAT-Adresse blockiert, sperrt auch zahlende Kunden dieses Anbieters im Gebiet. Cloudflares Beitrag 2025 bezeichnet die Erkennung von CGN als Kollateralschaden, den man vermeiden will, und sagt, CGNAT sei „üblich in Mobilfunknetzen, von denen Nutzer in Entwicklungsländern stark abhängig sind“.

Deshalb verwenden Websites für mobile IPs gewöhnlich mildere Mittel: Ratenbegrenzungen, zusätzliche Prüfungen oder Regeln auf Kontoebene statt kompletter Verbote.

Bedeutet CGNAT, dass ein mobiler Proxy nie limitiert werden kann?

Nein. Dieselben Cloudflare-Daten zeigen, dass CGNAT-Adressen dreimal öfter rate-limitiert werden als andere, weil so viel Traffic sie nutzt. Websites bewerten auch Konto, Cookies und Gerät, nicht nur die IP.

Praktische Regeln für einen mobilen Port:

• Senden Sie Traffic in menschlichem oder annähernd menschlichem Tempo bei eingeloggten Sessions;
• Verwenden Sie pro Port nur ein Konto und wechseln Sie nicht mitten in einer Sitzung;
• Wenn ein Ziel Fehler zurückgibt, rotieren Sie einmal, und verringern Sie danach das Tempo statt ständig zu rotieren.

Der Rotationsleitfaden gibt Zeitvorgaben.

Warum bekomme ich manchmal dieselbe IP nach einer Rotation?

Weil der Anbieter, nicht CellMast, die öffentliche Adresse zuteilt. Beim erneuten Verbinden wählt das NAT des Anbieters eine Adresse aus seinem Pool für die Region. Ist der Pool klein oder stark ausgelastet, kann Ihnen dieselbe Adresse wieder zugewiesen werden oder eine, die ein anderer CellMast-Kunde desselben Anbieters vorher hatte.

Jede Rotation verbindet deinen Port neu mit dem Carrier und dauert üblicherweise 5–15 Sekunden; der Carrier kann gelegentlich dieselbe IP zurückgeben: einfach nochmal rotieren.. Wenn Sie dieselbe Adresse zurückbekommen, warten Sie und rotieren Sie erneut. Die Rotations-API liefert die neue und vorherige IP, so dass Scripte prüfen können.

Können zwei Kunden dieselbe mobile IP nutzen?

Ja, auf der Ebene der öffentlichen Adresse ist das normal. Ihr dedizierter Port gehört nur Ihrem Modem und SIM: kein anderer Traffic läuft darüber. Die öffentliche IPv4-Adresse, die der Anbieter dem Modem gibt, kann aber mit gewöhnlichen Nutzern geteilt werden und im Lauf der Zeit an andere Modems, auch andere Proxy-Kunden, vergeben werden.

Deshalb kann ein einzelner schlechter Nutzer auf einem Carrier-Bereich eine Adresse beeinträchtigen, die Sie später verwenden. Die Rotation gibt Ihnen eine andere Adresse aus dem Pool.

Wie sieht es mit IPv6 in Mobilfunknetzen aus?

Viele Anbieter vergeben Smartphones heute neben oder statt der privaten IPv4 eine IPv6-Adresse. Mit IPv6 gibt es keine Knappheit, jedes Gerät kann eine eigene öffentliche Adresse bekommen. CGNAT wird dann nur noch für IPv4 benötigt. Mechanismen wie 464XLAT (RFC 6877) ermöglichen es IPv6-only Geräten, über einen Übersetzer trotzdem IPv4-Seiten zu erreichen. T-Mobile US beschreibt sein Netz in PeeringDB mit „überwiegend IPv6-only-Nutzern“ auf 464XLAT.

Für Proxy-Nutzer wird heute meist die IPv4-Ausgangsadresse von Websites protokolliert. CellMast-Ports werden verkauft und nach IPv4-Verhalten beschrieben; wenn Ihr Ziel IPv6 loggt, testen Sie es am besten erst an einem ein-Tages-Port.

Wie erkenne ich, ob eine IP hinter CGNAT ist?

Von außen ist es nicht sicher, aber es gibt gute Hinweise:

• das ASN gehört zu einem Mobilfunkanbieter;
• IP-Intelligence-Dienste klassifizieren die Verbindung als mobil;
• dieselbe Adresse taucht in Ihren Logs mit vielen unterschiedlichen Geräten auf.

Vom Modem aus ist eine Adresse im Bereich 100.64.0.0/10 auf der WAN-Seite ein klares Zeichen für CGNAT.