CGNAT: perché gli IP dei proxy mobili 4G sono condivisi e perché è importante

Come funziona carrier-grade NAT?

Pensa a tre livelli di indirizzi.

1. Il telefono o modem riceve un indirizzo privato dall'operatore, spesso nel blocco 100.64.0.0/10. Questo indirizzo non è raggiungibile da internet.
2. Il gateway NAT dell'operatore mantiene una tabella che associa ogni indirizzo privato e porta a un indirizzo pubblico e porta.
3. Internet vede solo l'indirizzo pubblico. Migliaia di sessioni da diversi abbonati possono uscire contemporaneamente, ognuna sulla propria porta.

RFC 6598 ha creato il blocco 100.64.0.0/10 nel 2012 affinché gli operatori smettessero di riutilizzare intervalli di rete domestici come 192.168.0.0/16 per questo livello, evitando conflitti di instradamento.

Perché CGNAT rende più difficile bloccare gli IP mobili 4G?

Perché un blocco su un singolo indirizzo colpisce tutti gli abbonati dietro di esso. Un sito che blocca un indirizzo CGNAT blocca anche i clienti paganti di quell'operatore in quella zona. Il post di Cloudflare del 2025 considera questo un danno collaterale da evitare e afferma che CGNAT è "comune nelle reti mobili da cui dipendono fortemente utenti in regioni in via di sviluppo".

Quindi i siti in genere limitano gli IP mobili 4G con strumenti più morbidi: limiti di velocità, controlli aggiuntivi o regole a livello account, invece di divieti totali.

CGNAT significa che un proxy mobile 4G non può mai essere limitato?

No. Gli stessi dati di Cloudflare mostrano che gli indirizzi CGNAT vengono limitati tre volte più spesso rispetto ad altri indirizzi, perché il traffico è molto condiviso. I siti giudicano anche l'account, i cookie e il dispositivo, non solo l'IP.

Regole pratiche per una porta mobile:

• inviare traffico a ritmo umano o quasi su sessioni con accesso;
• mantenere un account su una porta, senza ruotare in mezzo alla sessione;
• se il target risponde con errori, ruotare una volta e poi rallentare invece di ruotare ripetutamente.

La guida per la strategia di rotazione fornisce i tempi.

Perché a volte ottengo lo stesso IP dopo una rotazione?

Perché l'operatore, non CellMast, assegna l'indirizzo pubblico. Quando un modem si riconnette, il NAT dell'operatore sceglie un indirizzo dal suo pool per quell'area. Se il pool è piccolo o occupato, può restituire l'indirizzo che avevi appena, o uno usato in precedenza da un altro cliente CellMast dello stesso operatore.

Ogni rotazione ricollega la tua porta al carrier e di solito impiega 5–15 secondi; il carrier può occasionalmente restituire lo stesso IP: basta ruotare di nuovo. Se ricevi lo stesso indirizzo, aspetta e ruota di nuovo. L'API di rotazione restituisce il nuovo e il precedente IP, così uno script può controllare.

Possono due clienti condividere lo stesso IP mobile 4G?

Sì, a livello di indirizzo pubblico, ed è normale. La tua porta dedicata è il tuo modem e SIM: il traffico di nessun altro passa attraverso di essa. Ma l'indirizzo IPv4 pubblico che l'operatore assegna a quel modem può essere condiviso con abbonati normali e nel tempo può essere assegnato ad altri modem, compresi quelli di altri clienti proxy.

Per questo motivo un utente malevolo sulla rete dell'operatore può influire su un indirizzo che poi ricevi tu. La rotazione ti dà un indirizzo diverso dal pool.

Che succede con IPv6 nelle reti mobili 4G?

Molti operatori ora assegnano ai telefoni un indirizzo IPv6 accanto, o in alternativa, a un indirizzo IPv4 privato. Con IPv6 non c'è carenza, quindi ogni dispositivo può avere un indirizzo pubblico proprio e CGNAT serve solo per la parte IPv4. Meccanismi come 464XLAT (RFC 6877) permettono ai telefoni IPv6-only di raggiungere siti IPv4 tramite un traduttore. T-Mobile US descrive la sua rete in PeeringDB come composta in gran parte da "utenti IPv6-only" su 464XLAT.

Per un utente proxy, l'uscita IPv4 è ciò che la maggior parte dei siti registra oggi. Le porte CellMast sono vendute e descritte in base al loro comportamento IPv4; se il target registra IPv6, testalo prima su una porta di un giorno.

Come posso capire se un IP è dietro CGNAT?

Da fuori non si può esserne certi, ma ci sono buoni indizi:

• l'ASN appartiene a un operatore mobile;
• i servizi di intelligence IP classificano la connessione come cellulare;
• lo stesso indirizzo appare con molti dispositivi diversi nei tuoi log.

Entrando in un modem, un indirizzo nel blocco 100.64.0.0/10 sul lato WAN è un chiaro segno di CGNAT.