Определение
Что такое CGNAT и почему мобильные IP трудно заблокировать?
Короткий ответCGNAT (carrier-grade NAT) — технология, с помощью которой мобильные операторы размещают многих абонентов за одним публичным IPv4-адресом: каждое устройство получает частный адрес, часто из блока 100.64.0.0/10, зарезервированного RFC 6598, а NAT оператора его транслирует. Поэтому блокировка одного мобильного IP блокирует многих реальных пользователей. 4G/5G-порты Jade Proxies выходят в интернет через такие адреса операторов.
Как работает CGNAT?
CGNAT добавляет уровень трансляции адресов внутри сети мобильного оператора: оператор выдаёт каждому абоненту частный адрес и при выходе трафика в интернет подменяет его общим публичным IPv4-адресом и портом. Ответы приходят на этот публичный адрес и порт, и NAT пересылает их нужному абоненту.
| Этап | Используемый адрес | Пример |
|---|---|---|
| Телефон или модем в сети оператора | Частный адрес из общего адресного пространства | 100.72.15.9 |
| Carrier-grade NAT | Частный адрес и порт сопоставляются с публичным адресом и портом | 100.72.15.9:51022 → 203.0.113.40:20511 |
| Сайт | Только публичный адрес | 203.0.113.40 |
Один публичный IPv4-адрес даёт 65 536 номеров портов (2^16), и NAT распределяет их между абонентами, которые в данный момент используют этот адрес совместно. Сколько абонентов делят один адрес, каждый оператор настраивает сам и не публикует.
Что такое общее адресное пространство 100.64.0.0/10?
100.64.0.0/10 — блок IPv4-адресов, который RFC 6598, опубликованный IETF в апреле 2012 года, резервирует для связи между NAT оператора и его абонентами. Он охватывает диапазон от 100.64.0.0 до 100.127.255.255, никогда не маршрутизируется в публичном интернете и не пересекается с частными диапазонами домашних и офисных сетей, поэтому собственный роутер абонента никогда не конфликтует с адресацией оператора.
По расчётам Jade Proxies на основе RFC 6598, блок содержит 4 194 304 адреса. Префикс /10 фиксирует первые 10 из 32 бит IPv4-адреса и оставляет свободными 22: 2^(32 − 10) = 2^22 = 4 194 304. Это ровно 1/1 024 всего пространства IPv4 из 4 294 967 296 (2^32) адресов.
| Диапазон | Где определён | Адресов | Типичное использование |
|---|---|---|---|
| 10.0.0.0/8 | RFC 1918 | 16 777 216 | Корпоративные сети; некоторые операторы также используют его за своим NAT |
| 172.16.0.0/12 | RFC 1918 | 1 048 576 | Корпоративные и облачные сети |
| 192.168.0.0/16 | RFC 1918 | 65 536 | Домашние роутеры |
| 100.64.0.0/10 | RFC 6598 | 4 194 304 | Carrier-grade NAT (общее адресное пространство) |
Почему операторы перешли на CGNAT?
Операторы перешли на CGNAT, потому что адреса IPv4 закончились: в протоколе всего 4 294 967 296 адресов, часть из них зарезервирована, а число мобильных подписок исчисляется миллиардами. Только 5G-подписок в Ericsson Mobility Report за июнь 2026 года насчитывается около 3,3 миллиарда.
Дефицит первой ощутила Азия. IANA передала последние свободные блоки IPv4 региональным регистратурам в феврале 2011 года, а APNIC, регистратура Азиатско-Тихоокеанского региона, дошла до своего последнего блока в апреле 2011 года — раньше всех остальных регионов. С тех пор оператор, подключающий новых абонентов в Азии, должен был либо делить уже имеющиеся адреса через NAT, либо покупать блоки на вторичном рынке.
Почему мобильные IP трудно заблокировать?
Мобильные IP трудно заблокировать, потому что один публичный адрес за CGNAT одновременно представляет многих реальных абонентов, и бан этого адреса отрезает и клиентов, которые ничего не нарушали. Маркетплейс или соцсеть, забанившие адрес Telkomsel или Jio, отрезают часть собственной аудитории у этого оператора.
Поэтому платформы используют более тонкие инструменты, чем бан по IP:
- Ограничения частоты запросов на адрес: один активный пользователь замедляется, остальные продолжают работать.
- Проверки вроде CAPTCHA или подтверждения входа, которые реальный пользователь телефона проходит.
- Сигналы аккаунта и устройства: cookies, история входов и отпечатки приложений, которые привязаны к пользователю, а не к адресу.
| Тип IP | Кто стоит за одним публичным адресом | Цена блокировки |
|---|---|---|
| Дата-центр | Один сервер или один клиент | Низкая: из хостинговых диапазонов сидит мало реальных посетителей |
| Резидентный | Одно домохозяйство, если интернет-провайдер тоже не использует CGNAT | Умеренная: блокируется одно домохозяйство |
| Мобильный (CGNAT) | Много абонентов одновременно | Высокая: блокируются реальные клиенты этого оператора |
Что меняет IPv6?
IPv6 снимает необходимость делить адреса: при 2^128 возможных адресов мобильная сеть выдаёт каждому подключению передачи данных собственный префикс /64, поэтому IPv6-трафик телефона не смешивается с трафиком других абонентов, как IPv4-трафик за CGNAT. Сервисы, ограничивающие частоту запросов по IPv6, применяют лимиты ко всему префиксу /64, а не к одному адресу, поскольку весь префикс контролирует один абонент.
Многие операторы используют IPv6 и IPv4 параллельно: телефон ходит по IPv6 на сайты, которые его поддерживают, а на остальные — через CGNAT. Эффект общего адреса, описанный на этой странице, относится к выходу через IPv4.
Что CGNAT означает для пользователей прокси?
Для пользователей прокси CGNAT означает, что мобильный выходной IP одновременно общий и сменяемый: ротация порта запрашивает у оператора новый публичный адрес, а между ротациями через этот адрес может идти и трафик обычных абонентов. Отсюда три практических следствия.
- Ротация меняет публичный IP. После ротации оператор сопоставляет новое соединение порта с новым публичным адресом из своего пула; при каждой ротации порт заново подключается к мобильному оператору, обычно это занимает 5–15 секунд. В Jade Proxies вы получаете новый IP по запросу через ссылку ротации или вызов API, не чаще одного раза в 30 секунд, либо по автоматическому таймеру с интервалом от 2 минут до 24 часов.
- Между ротациями IP сохраняется. RFC 6888 требует, чтобы NAT оператора держал все соединения одного абонента на одном публичном адресе ("paired" pooling — «парное» распределение пула), поэтому сессия с непрерывным трафиком остаётся на одном IP. После долгого простоя следующее соединение может выйти с другого адреса. Как планировать длительность сессий, описано в сравнении ротируемых и sticky-прокси.
- Репутация общая. Выделенный порт означает выделенный модем, а не эксклюзивный публичный IP. Если другой абонент на том же адресе вызывает CAPTCHA, вы тоже их увидите; ротация переведёт вас на новый адрес.
В руководстве по мобильным прокси подробно объясняется, как работает порт, а на странице азиатских мобильных прокси перечислены операторы и цены портов от $3/день. О резидентных IP, которые работают через домашние линии, читайте в сравнении резидентных и мобильных прокси.
Как узнать, что я за CGNAT?
Вы за CGNAT, если адрес, который показывает ваш телефон или роутер, отличается от публичного адреса, который видят сайты, и при этом показанный адрес входит в 100.64.0.0/10 или другой частный диапазон. Проверить можно в четыре шага:
- Посмотрите локальный адрес. На роутере откройте страницу состояния и запишите WAN- или интернет-IP. На Android-телефоне с мобильными данными найдите IP-адрес в разделе «О телефоне» → «Общая информация» (путь зависит от производителя).
- Посмотрите публичный адрес. Откройте любую страницу «what is my IP» (какой у меня IP) с того же подключения.
- Сравните их. Если адреса различаются и локальный начинается с 100.64–100.127 или с 10., оператор транслирует ваш трафик.
- Запустите трассировку.
tracert 1.1.1.1в Windows илиtraceroute 1.1.1.1в macOS и Linux: узлы из 100.64.0.0/10 в начале маршрута указывают на уровень NAT оператора.
Частые вопросы
100.64.0.0/10 — это частный диапазон IP?
Не в смысле RFC 1918. RFC 6598 называет его общим адресным пространством: оно не должно появляться в публичном интернете и предназначено для связи между NAT операторов и абонентами, а не для домашних или офисных сетей.
Все ли мобильные операторы используют CGNAT?
Ни один публичный набор данных не даёт точной доли операторов, использующих CGNAT. Любой оператор, у которого активных IPv4-абонентов больше, чем публичных IPv4-адресов, вынужден делить адреса, поэтому NAT — стандартная практика в сетях мобильной передачи данных.
Может ли сайт увидеть мой адрес 100.64.x.x?
Нет. NAT оператора заменяет частный адрес до того, как пакет покидает сеть оператора, поэтому сайт видит только общий публичный адрес и номер порта.
Почему нельзя держать сервер за CGNAT?
Входящие соединения приходят на общий публичный адрес, а у NAT нет сопоставления, которое направило бы их на ваше устройство. Чтобы разместить игровой сервер или трансляцию с камеры за CGNAT, нужен публичный IP от оператора или исходящий туннель.
Даёт ли ротация мобильного прокси новый адрес CGNAT?
Да. Ротация переподключает модем, и оператор сопоставляет новое соединение с публичным адресом из своего пула, как правило другим. В Jade Proxies при каждой ротации порт заново подключается к мобильному оператору, обычно это занимает 5–15 секунд.