CGNAT: waarom mobiele proxy IP's gedeeld worden, en waarom dat ertoe doet

Hoe werkt carrier-grade NAT?

Denk aan drie lagen adressen.

1. De telefoon of modem krijgt een privé-adres van de provider, vaak uit 100.64.0.0/10. Dit adres is niet bereikbaar vanaf internet.
2. De NAT-gateway van de provider houdt een tabel bij die elk privé-adres en poort koppelt aan een publiek adres en poort.
3. Internet ziet alleen het publieke adres. Duizenden sessies van verschillende abonnees kunnen tegelijkertijd via dat adres gaan, elk met een eigen poort.

RFC 6598 introduceerde in 2012 het 100.64.0.0/10 blok zodat providers zouden stoppen met het hergebruiken van thuisnetwerk-bereiken zoals 192.168.0.0/16 voor deze laag, omdat dat routingconflicten veroorzaakte.

Waarom maakt CGNAT het moeilijker om mobiele IP's te blokkeren?

Omdat een blokkade op één adres iedereen erachter raakt. Een site die een CGNAT-adres blokkeert, blokkeert ook de betalende klanten van de provider in dat gebied. De blogpost van Cloudflare uit 2025 over het detecteren van CGN noemt dit collateral damage om te vermijden en stelt dat CGNAT "gebruikelijk is in mobiele netwerken waar gebruikers in ontwikkelingsregio's sterk op vertrouwen".

Sites gebruiken meestal zachtere middelen om mobiele IP's te limiteren: rate limits, extra controles of accountregels in plaats van totale blokkades.

Betekent CGNAT dat een mobiele 4G-proxy nooit gelimiteerd kan worden?

Nee. Dezelfde Cloudflare-data toont dat CGNAT-adressen drie keer vaker rate-gelimiteerd worden dan andere, omdat zoveel verkeer ze deelt. Sites beoordelen ook het account, de cookies en het apparaat, niet alleen het IP.

Praktische regels voor een mobiele poort:

• stuur verkeer op een menselijk of bijna-menselijk tempo bij ingelogde sessies;
• houd één account op één poort en draai niet midden in een sessie om;
• als een doelstart foutmeldingen geeft, roteer één keer en vertraag daarna in plaats van voortdurend te draaien.

De rotatiestrategiegids bevat timingtips.

Waarom krijg ik soms hetzelfde IP na een rotatie?

Omdat de provider, niet CellMast, het publieke adres uitdeelt. Wanneer een modem opnieuw verbinding maakt, kiest de NAT van de provider een adres uit zijn pool voor dat gebied. Is de pool klein of druk, dan kan het hetzelfde adres teruggeven dat je net had, of één dat eerder een andere CellMast klant op diezelfde provider gebruikte.

Elke rotatie maakt opnieuw verbinding met de provider en duurt meestal 5–15 seconden; de provider kan soms hetzelfde IP teruggeven: roteer dan opnieuw. Krijg je hetzelfde adres terug, wacht dan en roteer opnieuw. De rotatie API geeft het nieuwe en het vorige IP terug, zodat een script kan controleren.

Kunnen twee klanten hetzelfde mobiele IP delen?

Ja, op het niveau van het publieke adres, en dat is normaal. Je toegewezen poort is jouw eigen modem en SIM: niemand anders stuurt verkeer via die poort. Maar het publieke IPv4-adres dat de provider aan die modem geeft, kan gedeeld worden met gewone abonnees en na verloop van tijd ook aan andere modems, waaronder die van andere proxy-klanten.

Dit is ook waarom een slechte gebruiker op een provider-bereik een adres kan beïnvloeden dat je later krijgt. Rotatie geeft je een ander adres uit de pool.

Hoe zit het met IPv6 in mobiele netwerken?

Veel providers geven telefoons nu een IPv6-adres naast of in plaats van een privé IPv4-adres. Met IPv6 is er geen tekort, dus kan elk apparaat zijn eigen publieke adres krijgen en is CGNAT alleen voor het IPv4-deel nodig. Mechanismen zoals 464XLAT (RFC 6877) zorgen dat IPv6-only telefoons toch IPv4-sites kunnen bereiken via een vertaler. T-Mobile US beschrijft zijn netwerk in PeeringDB als met "voornamelijk IPv6-only gebruikers" op 464XLAT.

Voor een proxy-gebruiker is de IPv4 exit wat de meeste websites vandaag loggen. CellMast poorten worden verkocht en beschreven op basis van hun IPv4-gedrag; als jouw target IPv6 logt, test dat dan eerst op een port voor één dag.

Hoe herken ik of een IP achter CGNAT zit?

Van buitenaf kun je het niet zeker weten, maar er zijn goede aanwijzingen:

• het ASN hoort bij een mobiele provider;
• IP intelligence services labelen de verbinding als cellulair;
• hetzelfde adres verschijnt met veel verschillende apparaten in je eigen logs.

Vanuit een modem is een adres in 100.64.0.0/10 aan de WAN-kant een duidelijk teken van CGNAT.