CGNAT : pourquoi les IP de proxy mobile sont partagées, et l'importance de cela

Comment fonctionne le NAT de niveau opérateur ?

Imaginez trois couches d'adresses.

1. Le téléphone ou modem reçoit une adresse privée de l'opérateur, souvent dans 100.64.0.0/10. Cette adresse est inaccessible depuis Internet.
2. La passerelle NAT de l'opérateur garde une table qui mappe chaque adresse privée et port à une adresse publique et port.
3. Internet ne voit que l'adresse publique. Des milliers de sessions de différents abonnés peuvent sortir par cette adresse simultanément, chacune avec son propre port.

La RFC 6598 a créé le bloc 100.64.0.0/10 en 2012 afin que les opérateurs cessent de réutiliser des plages domestiques comme 192.168.0.0/16 pour ce niveau, ce qui causait des conflits de routage.

Pourquoi CGNAT rend-il les IP mobiles plus difficiles à bloquer ?

Parce qu'une interdiction sur une adresse affecte tous ceux qui se trouvent derrière. Un site qui bloque une adresse CGNAT bloque aussi les clients payants de cet opérateur dans cette zone. L'article de Cloudflare de 2025 sur la détection des CGN décrit cela comme des dommages collatéraux à éviter, et explique que le CGNAT est "commun dans les réseaux mobiles dont les utilisateurs dans les régions en développement dépendent fortement".

Ainsi, les sites limitent généralement les IP mobiles avec des outils plus doux : limitations de débit, vérifications supplémentaires ou règles au niveau du compte, plutôt que des blocages complets.

Est-ce que CGNAT signifie qu’un proxy mobile ne peut jamais être limité ?

Non. Les mêmes données de Cloudflare montrent que les adresses CGNAT sont limitées en débit trois fois plus souvent que les autres, car elles partagent beaucoup de trafic. Les sites évaluent aussi le compte, les cookies et l’appareil, pas uniquement l’IP.

Règles pratiques pour un port mobile :

• envoyez le trafic à un rythme humain ou proche sur les sessions connectées ;
• gardez un compte par port, ne faites pas de rotation en milieu de session ;
• si la cible répond par des erreurs, faites une rotation puis ralentissez plutôt que de tourner en boucle.

Le guide de stratégie de rotation fournit les timings.

Pourquoi est-ce que je reçois parfois la même IP après une rotation ?

Parce que c’est l’opérateur, pas CellMast, qui attribue l’adresse publique. Quand un modem se reconnecte, le NAT de l’opérateur choisit une adresse dans son pool pour cette zone. Si le pool est petit ou très utilisé, il peut redonner l’adresse que vous aviez ou une utilisée précédemment par un autre client CellMast du même opérateur.

Chaque rotation reconnecte votre port à l’opérateur et prend généralement 5 à 15 secondes ; l’opérateur peut parfois rendre la même IP : il suffit de tourner à nouveau.. Si vous obtenez la même adresse, attendez puis effectuez une autre rotation. L’API de rotation renvoie l’IP nouvelle et l’ancienne, pour vérification par script.

Est-ce que deux clients peuvent partager la même IP mobile ?

Oui, au niveau de l’adresse publique, et c’est normal. Votre port dédié correspond à votre propre modem et SIM : le trafic de personne d’autre ne passe par là. Mais l’adresse IPv4 publique que l’opérateur donne à ce modem peut être partagée avec des abonnés ordinaires, et dans le temps elle peut être donnée à d’autres modems, y compris d’autres clients proxy.

C’est aussi pour cela qu’un utilisateur malveillant dans la plage opérateur peut affecter une adresse que vous recevrez ensuite. La rotation vous donne une adresse différente dans le pool.

Qu’en est-il de l’IPv6 sur les réseaux mobiles ?

Beaucoup d’opérateurs fournissent maintenant une adresse IPv6 aux téléphones, en plus ou à la place d’une IPv4 privée. Avec IPv6, il n’y a pas de pénurie, chaque appareil peut avoir sa propre adresse publique, et le CGNAT ne concerne alors que la partie IPv4. Des mécanismes comme 464XLAT (RFC 6877) permettent aux téléphones IPv6-only d’atteindre les sites IPv4 via un traducteur. T-Mobile US décrit son réseau sur PeeringDB comme ayant "principalement des utilisateurs IPv6-only" sur 464XLAT.

Pour un utilisateur de proxy, c’est l’IPv4 de sortie qui est loguée par la plupart des sites aujourd’hui. Les ports CellMast sont vendus et décrits suivant leur comportement IPv4 ; si votre cible logue IPv6, testez-le d’abord sur un port d’un jour.

Comment savoir si une IP est derrière un CGNAT ?

De l’extérieur, vous ne pouvez pas être certain, mais il y a de bons indices :

• l’ASN appartient à un opérateur mobile ;
• les services d’intelligence IP étiquettent la connexion comme cellulaire ;
• la même adresse apparaît dans vos propres logs avec plusieurs appareils différents.

Depuis un modem, une adresse 100.64.0.0/10 sur la partie WAN est un signe clair de CGNAT.