CGNAT: dlaczego mobilne proxy 4G mają współdzielone IP i dlaczego to ma znaczenie

Jak działa carrier-grade NAT?

Pomyśl o trzech warstwach adresów.

1. Telefon lub modem dostaje prywatny adres od operatora, często z zakresu 100.64.0.0/10. Ten adres nie jest osiągalny z internetu.
2. Bramka NAT operatora prowadzi tabelę mapującą każdy prywatny adres i port na publiczny adres i port.
3. Internet widzi tylko publiczny adres. Tysiące sesji różnych abonentów mogą jednocześnie wychodzić przez ten adres, każdy na swoim porcie.

RFC 6598 stworzyło blok 100.64.0.0/10 w 2012, aby operatorzy przestali używać zakresów domowych sieci (np. 192.168.0.0/16) na tym poziomie, co powodowało konflikty trasowania.

Dlaczego CGNAT utrudnia blokowanie mobilnych IP?

Bo blokada jednego adresu uderza we wszystkich za nim. Strona blokująca adres CGNAT blokuje też płacących klientów operatora na tym terenie. Post Cloudflare z 2025 roku o wykrywaniu CGN traktuje to jako szkody uboczne do uniknięcia i mówi, że CGNAT jest „powszechne w sieciach mobilnych, na których użytkownicy z rozwijających się regionów mocno polegają”.

Dlatego strony zwykle stosują łagodniejsze metody wobec mobilnych IP: ograniczenia szybkości, dodatkowe kontrole lub zasady na poziomie konta zamiast całkowitych blokad.

Czy CGNAT oznacza, że mobilne proxy 4G nigdy nie mogą być ograniczone?

Nie. Te same dane Cloudflare pokazują, że adresy CGNAT są ograniczane trzy razy częściej niż inne, ponieważ dzieli je wiele ruchów. Strony oceniają też konto, ciasteczka i urządzenie, nie tylko IP.

Praktyczne zasady dla mobilnego portu:

• wysyłaj ruch w tempie zbliżonym do ludzkiego na sesjach z zalogowaniem;
• trzymaj jedno konto na jednym porcie, bez rotacji podczas sesji;
• jeśli cel zaczyna odpowiadać błędami, wykonaj rotację raz, potem zwolnij, zamiast rotować wielokrotnie.

Przewodnik po rotacji podaje też czasy.]

Dlaczego czasem po rotacji mam ten sam adres IP?

Bo publiczny adres przyznaje operator, a nie CellMast. Gdy modem się łączy ponownie, NAT operatora wybiera adres z puli dla danego obszaru. Jeśli pula jest mała lub mocno obciążona, może zwrócić adres, który już miałeś lub którego wcześniej używał inny klient CellMast tego operatora.

Każda rotacja ponownie łączy port z operatorem i zwykle trwa 5–15 sekund; operator czasem może przydzielić to samo IP: po prostu dokonaj rotacji ponownie. Jeśli dostaniesz ten sam adres, poczekaj i zrób rotację ponownie. API rotacji zwraca nowy i poprzedni IP, więc skrypt może to sprawdzić.]

Czy dwóch klientów może udostępniać ten sam mobilny adres IP?

Tak, na poziomie adresu publicznego to normalne. Twój dedykowany port jest przypisany do twojego modemu i SIM: ruch nikogo innego nie przechodzi przez niego. Ale publiczny adres IPv4 przypisany modemowi przez operatora może być współdzielony z innymi abonentami i z czasem przypisywany innym modemom, także klientom proxy.

To też wyjaśnia, dlaczego złe zachowanie jednego użytkownika w zakresie operatora może wpływać na adres, który potem otrzymujesz. Rotacja daje ci inny adres z puli.

A co z IPv6 w sieciach mobilnych?

Wielu operatorów podaje telefony adres IPv6 obok lub zamiast prywatnego IPv4. IPv6 jest nieograniczone, więc każde urządzenie może mieć własny publiczny adres, a CGNAT dotyczy tylko IPv4. Mechanizmy takie jak 464XLAT (RFC 6877) pozwalają telefonem IPv6-only osiągać strony IPv4 przez translator. T-Mobile US w PeeringDB opisuje swoją sieć jako mającą "głównie użytkowników IPv6-only" na 464XLAT.

Dla użytkownika proxy exit IPv4 jest tym, co większość stron loguje na dziś. CellMast porty są sprzedawane i opisane przez ich zachowanie IPv4; jeśli cel loguje IPv6, przetestuj to najpierw na porcie jednodniowym.

Jak rozpoznać, czy IP jest za CGNAT?

Z zewnątrz nie można być pewnym, ale są dobre wskazówki:

• ASN należy do operatora mobilnego;
• serwisy inteligencji IP klasyfikują połączenie jako komórkowe;
• ten sam adres pojawia się w twoich logach z wieloma różnymi urządzeniami.

Z modemu wewnątrz sieci adres 100.64.0.0/10 po stronie WAN jest wyraźnym sygnałem CGNAT.