CGNAT: por que IPs de proxies móveis são compartilhados e por que isso importa

Como funciona o carrier-grade NAT?

Pense em três camadas de endereços.

1. O celular ou modem recebe um endereço privado da operadora, geralmente em 100.64.0.0/10. Esse endereço não pode ser acessado da internet.
2. O gateway NAT da operadora mantém uma tabela que mapeia cada endereço privado e porta para um endereço público e porta.
3. A internet vê apenas o endereço público. Milhares de sessões de assinantes diferentes podem sair por ele ao mesmo tempo, cada uma em sua própria porta.

O RFC 6598 criou o bloco 100.64.0.0/10 em 2012 para que as operadoras parassem de reutilizar faixas de redes domésticas como 192.168.0.0/16 para essa camada, o que causava conflitos de roteamento.

Por que CGNAT torna os IPs móveis mais difíceis de bloquear?

Porque uma proibição de um endereço atinge todos que estão por trás dele. Um site que bloqueia um endereço CGNAT também bloqueia os clientes pagantes da operadora naquela área. O post da Cloudflare em 2025 sobre detecção de CGN considera isso como um dano colateral a ser evitado, e diz que CGNAT é "comum em redes móveis das quais usuários em regiões em desenvolvimento dependem fortemente".

Então, os sites geralmente limitam IPs móveis com ferramentas mais brandas: limites de taxa, verificações extras ou regras em nível de conta, em vez de banimentos totais.

CGNAT significa que um proxy móvel nunca pode ser limitado?

Não. Os mesmos dados da Cloudflare mostram que endereços CGNAT são limitados em taxa três vezes mais que outros endereços, porque muito tráfego é compartilhado entre eles. Os sites também avaliam a conta, os cookies e o dispositivo, não apenas o IP.

Regras práticas para uma porta móvel:

• envie tráfego em ritmo humano ou próximo disso em sessões com login;
• mantenha uma conta em uma única porta e evite rotacionar no meio da sessão;
• se o alvo começar a responder com erros, faça uma única rotação e depois diminua o ritmo em vez de rotacionar repetidamente.

O guia de estratégia de rotação fornece os tempos recomendados.

Por que às vezes recebo o mesmo IP após uma rotação?

Porque a operadora, não CellMast, distribui o endereço público. Quando um modem reconecta, o NAT da operadora escolhe um endereço do seu pool para aquela área. Se o pool for pequeno ou estiver ocupado, pode retornar o endereço que você tinha ou um que outro cliente CellMast usou anteriormente na mesma operadora.

Cada rotação reconecta sua porta à operadora e geralmente leva de 5 a 15 segundos; a operadora pode ocasionalmente devolver o mesmo IP: basta rotacionar de novo.. Se você receber o mesmo endereço, espere e rotacione novamente. A API de rotação retorna o IP novo e o anterior, para que um script possa verificar.

Dois clientes podem compartilhar o mesmo IP móvel?

Sim, no nível de endereço público, e isso é normal. Sua porta dedicada é seu próprio modem e SIM: o tráfego de ninguém mais passa por ela. Mas o endereço IPv4 público que a operadora dá a esse modem pode ser compartilhado com assinantes comuns, e com o tempo pode ser repassado para outros modems, inclusive de outros clientes proxy.

É por isso que um usuário problemático em uma faixa de operadora pode afetar um endereço que você receber depois. A rotação lhe dá um endereço diferente do pool.

E sobre IPv6 em redes móveis?

Muitas operadoras agora fornecem um endereço IPv6 ao celular junto com ou em vez do IPv4 privado. Com IPv6 não há escassez, então cada dispositivo pode ter seu próprio endereço público, e CGNAT é necessário apenas para a parte IPv4. Mecanismos como 464XLAT (RFC 6877) permitem que celulares somente com IPv6 ainda acessem sites IPv4 através de um tradutor. A T-Mobile dos EUA descreve sua rede no PeeringDB como tendo "usuários em sua maioria somente IPv6" no 464XLAT.

Para usuários de proxy, a saída IPv4 é o que a maioria dos sites ainda registra hoje. Portas CellMast são vendidas e descritas pelo comportamento IPv4; se seu alvo registra IPv6, teste primeiro numa porta com duração de um dia.

Como saber se um IP está atrás de CGNAT?

De fora, você não pode ter certeza, mas há bons indícios:

• o ASN pertence a uma operadora móvel;
• serviços de inteligência de IP identificam a conexão como celular;
• o mesmo endereço aparece com vários dispositivos diferentes nos seus próprios logs.

De dentro de um modem, um endereço em 100.64.0.0/10 no lado WAN é um sinal claro de CGNAT.