CGNAT: tại sao IP proxy di động 4G được chia sẻ và lý do điều đó quan trọng

CGNAT hoạt động thế nào?

Hãy tưởng tượng có ba lớp địa chỉ.

1. Điện thoại hoặc modem nhận địa chỉ riêng tư từ nhà mạng, thường từ 100.64.0.0/10. Địa chỉ này không thể truy cập từ internet.
2. Cổng NAT của nhà mạng giữ một bảng ánh xạ mỗi địa chỉ và cổng riêng tư sang địa chỉ và cổng công cộng.
3. Internet chỉ nhìn thấy địa chỉ công cộng. Hàng ngàn phiên từ các thuê bao khác nhau có thể đi ra cùng lúc, mỗi phiên sử dụng cổng riêng.

RFC 6598 tạo ra khối 100.64.0.0/10 năm 2012 để nhà mạng không còn tái sử dụng khối mạng gia đình như 192.168.0.0/16 cho tầng này, tránh xung đột định tuyến.

Tại sao CGNAT khiến IP di động 4G khó chặn hơn?

Bởi vì lệnh cấm một địa chỉ sẽ ảnh hưởng đến tất cả người dùng phía sau nó. Một trang web chặn địa chỉ CGNAT cũng sẽ chặn khách hàng trả tiền của nhà mạng đó trong khu vực. Bài viết của Cloudflare năm 2025 về phát hiện CGN coi đây là thiệt hại ngoài ý muốn cần tránh và nói CGNAT "phổ biến trong mạng di động mà người dùng ở các khu vực đang phát triển phụ thuộc rất nhiều".

Do đó các trang web thường hạn chế IP di động 4G bằng công cụ nhẹ hơn: giới hạn tốc độ, kiểm tra thêm hoặc luật cấp tài khoản, thay vì cấm hẳn.

CGNAT có nghĩa là proxy di động 4G không thể bị giới hạn không?

Không phải. Dữ liệu Cloudflare cho thấy địa chỉ CGNAT bị giới hạn tốc độ nhiều hơn gấp ba lần địa chỉ khác vì lượng truy cập chia sẻ. Trang web cũng xét đánh giá tài khoản, cookie và thiết bị, chứ không chỉ IP.

Quy tắc thực tế cho một cổng di động 4G:

• gửi lưu lượng theo nhịp độ con người hoặc gần con người trong các phiên đăng nhập;
• giữ một tài khoản trên một cổng và không đổi cổng giữa phiên;
• nếu mục tiêu bắt đầu trả lỗi, đổi cổng một lần, sau đó giảm tốc thay vì đổi liên tục.

Hướng dẫn chiến lược đổi cổng có thời gian cụ thể.

Tại sao đôi khi tôi lại nhận cùng một IP sau khi đổi cổng?

Bởi vì chính nhà mạng, không phải CellMast, cung cấp địa chỉ công cộng. Khi modem kết nối lại, NAT nhà mạng chọn một địa chỉ từ nhóm của khu vực đó. Nếu nhóm nhỏ hoặc quá tải, nó có thể trả lại địa chỉ bạn vừa dùng, hoặc một địa chỉ đã được khách hàng CellMast khác dùng trước đó cùng nhà mạng.

Mỗi lần quay vòng kết nối lại cổng với nhà mạng và thường mất 5–15 giây; đôi khi nhà mạng sẽ trả lại IP cũ: bạn chỉ cần quay vòng lại. Nếu nhận lại cùng địa chỉ, hãy chờ và đổi cổng lần nữa. API đổi cổng trả về cả IP mới và IP trước, để script có thể kiểm tra.

Có thể hai khách hàng dùng chung một IP di động 4G không?

Có, tại cấp độ địa chỉ công cộng, và đó là điều bình thường. Cổng riêng của bạn là modem và SIM riêng: không lưu lượng nào của người khác đi qua đó. Nhưng địa chỉ IPv4 công cộng do nhà mạng cấp cho modem đó có thể được chia sẻ với thuê bao phổ thông, và theo thời gian có thể được cấp cho các modem khác, kể cả khách proxy khác.

Đây cũng là lý do một người dùng xấu trên phạm vi nhà mạng có thể ảnh hưởng địa chỉ bạn nhận sau này. Đổi cổng mang đến cho bạn địa chỉ khác từ nhóm.

Còn IPv6 trên mạng di động 4G thì sao?

Nhiều nhà mạng hiện cấp địa chỉ IPv6 cho điện thoại song song hoặc thay cho IPv4 riêng tư. Với IPv6 không lo thiếu địa chỉ, mỗi thiết bị có thể có địa chỉ công cộng riêng, và CGNAT chỉ cần với phần IPv4. Các cơ chế như 464XLAT (RFC 6877) giúp điện thoại chỉ dùng IPv6 vẫn truy cập trang IPv4 qua bộ dịch. T-Mobile US mô tả mạng của họ ở PeeringDB có "người dùng hầu hết chỉ dùng IPv6" trên 464XLAT.

Với người dùng proxy, IP thoát IPv4 vẫn là cái nhiều trang web ghi nhận hiện nay. Cổng CellMast được bán và mô tả theo hành vi IPv4; nếu mục tiêu bạn ghi IP IPv6, hãy thử trên cổng một ngày trước.

Làm sao biết một IP đang ở sau CGNAT?

Từ bên ngoài, bạn không thể chắc chắn, nhưng có dấu hiệu rõ:

• ASN thuộc nhà mạng di động 4G;
• dịch vụ phân tích IP đánh dấu kết nối là mạng di động;
• cùng một địa chỉ xuất hiện trong nhiều thiết bị khác nhau trong log của bạn.

Từ bên trong modem, địa chỉ nằm trong 100.64.0.0/10 ở phía WAN là dấu hiệu rõ ràng của CGNAT.