定义
什么是 CGNAT？为什么移动 IP 很难被封禁？
简短回答CGNAT（运营商级 NAT）是移动运营商让大量用户共用一个公网 IPv4 地址的技术：每台设备获得一个私有地址（通常来自 RFC 6598 保留的 100.64.0.0/10 地址段），再由运营商的 NAT 进行转换。因此封禁一个移动 IP 会同时封禁许多真实用户。Jade Proxies 的 4G/5G 端口正是通过这类运营商地址出口。
CGNAT 是如何工作的？
CGNAT 的原理是在移动运营商网络内部增加一层地址转换：运营商为每个用户分配一个私有地址，当流量发往互联网时，再将其改写为一个共享的公网 IPv4 地址和端口。回复数据返回到该公网地址和端口后，由 NAT 转发给对应的用户。
| 阶段 | 使用的地址 | 示例 |
|---|---|---|
| 运营商网络中的手机或调制解调器 | 来自共享地址空间的私有地址 | 100.72.15.9 |
| 运营商级 NAT | 私有地址和端口映射到公网地址和端口 | 100.72.15.9:51022 → 203.0.113.40:20511 |
| 网站 | 仅公网地址 | 203.0.113.40 |
一个公网 IPv4 地址提供 65,536 个端口号（2^16），NAT 会将这些端口分配给同一时刻共用该地址的用户。一个地址由多少用户共用，由各移动运营商自行设定，且不对外公布。
什么是 100.64.0.0/10 共享地址空间？
100.64.0.0/10 是 IETF 于 2012年4月发布的 RFC 6598 所保留的 IPv4 地址段，专用于运营商 NAT 与其用户之间的链路。其范围为 100.64.0.0 至 100.127.255.255，从不在公共互联网上路由，并且独立于家庭和办公网络使用的私有地址段，因此用户自己的路由器不会与运营商的地址规划冲突。
根据 Jade Proxies 对 RFC 6598 的计算，该地址段包含 4,194,304 个地址。/10 表示固定 IPv4 地址 32 位中的前 10 位，剩余 22 位可用：2^(32 − 10) = 2^22 = 4,194,304。这恰好是全部 IPv4 地址空间 4,294,967,296（2^32）个地址的 1/1,024。
| 地址段 | 定义来源 | 地址数量 | 典型用途 |
|---|---|---|---|
| 10.0.0.0/8 | RFC 1918 | 16,777,216 | 企业网络；部分移动运营商也在其 NAT 后使用 |
| 172.16.0.0/12 | RFC 1918 | 1,048,576 | 企业和云网络 |
| 192.168.0.0/16 | RFC 1918 | 65,536 | 家用路由器 |
| 100.64.0.0/10 | RFC 6598 | 4,194,304 | 运营商级 NAT（共享地址空间） |
移动运营商为什么采用 CGNAT？
移动运营商采用 CGNAT 是因为 IPv4 地址已经耗尽：该协议总共只有 4,294,967,296 个地址，其中一部分还被保留，而移动用户数量以数十亿计。根据 Ericsson 2026年6月的《移动市场报告》（Mobility Report），仅 5G 用户就约有 33 亿。
亚洲最先受到地址短缺的冲击。IANA 于 2011年2月将最后一批空闲 IPv4 地址块分配给各地区注册机构，而负责亚太地区的注册机构 APNIC 于 2011年4月便启用了最后一个地址块，早于其他所有地区。从那时起，在亚洲新增用户的运营商只能通过 NAT 共享已有地址，或在转让市场上购买地址块。
为什么移动 IP 很难被封禁？
移动 IP 难以封禁，是因为 CGNAT 后的一个公网地址在同一时刻代表着许多真实用户，封禁该地址也会把没有任何违规行为的客户拒之门外。一个电商平台或社交网络如果封禁某个 Telkomsel 或 Jio 地址，就等于切断了自己在该运营商上的一部分用户。
因此，平台会使用比封禁 IP 更精细的手段：
- 速率限制：按地址限速，让单个高频用户变慢，而其他用户不受影响。
- 验证挑战：如 CAPTCHA 验证码或登录确认，真实手机用户可以顺利通过。
- 账户和设备信号：如 Cookie、登录历史和应用指纹，这些信号跟随用户而非地址。
| IP 类型 | 一个公网地址背后是谁 | 封禁的代价 |
|---|---|---|
| 数据中心 | 一台服务器或一个客户 | 低：很少有真实访客从托管 IP 段访问 |
| 住宅 | 一个家庭（除非宽带运营商（ISP）也使用 CGNAT） | 中等：一个家庭被拒之门外 |
| 移动（CGNAT） | 同一时刻的大量用户 | 高：该运营商的真实客户被拒之门外 |
IPv6 会带来什么变化？
IPv6 消除了共享地址的需要：IPv6 拥有 2^128 个可能的地址，移动网络会为每个数据连接分配独立的 /64 前缀，因此手机的 IPv6 流量不会像 CGNAT 后的 IPv4 流量那样与其他用户合并。对 IPv6 实施速率限制的服务会针对整个 /64 前缀而不是单个地址，因为整个前缀都由同一个用户控制。
许多移动运营商同时运行 IPv6 和 IPv4，手机对支持 IPv6 的网站使用 IPv6，其余则通过 CGNAT 访问。本文所述的共享地址效应适用于 IPv4 出口。
CGNAT 对代理用户意味着什么？
对代理用户而言，CGNAT 意味着移动出口 IP 既是共享的，也是可变的：轮换端口会向移动运营商申请一个新的公网地址，而在两次轮换之间，该地址也可能承载普通用户的流量。由此带来三个实际影响。
- 轮换会更换公网 IP。 轮换后，运营商会将端口的新连接映射到其 IP 池中的新公网地址；每次轮换都会使端口重新连接移动运营商，通常需要 5–15 秒。使用 Jade Proxies，您将获得可通过轮换链接或 API 调用按需更换 IP，最多每 30 秒一次，或设置自动定时更换，间隔从 2 分钟到 24 小时不等。
- 两次轮换之间 IP 保持固定。 RFC 6888 要求运营商 NAT 将同一用户的所有连接保持在同一个公网地址上（"paired" pooling，即配对池化），因此保持流量持续的会话会停留在同一 IP 上。长时间空闲后，下一个连接可能从另一个地址出口。如何规划会话时长，请参阅轮换与粘性会话指南。
- IP 信誉是共享的。 独享端口意味着独享调制解调器，而不是独占公网 IP。如果同一地址上的其他用户触发了 CAPTCHA，您也会遇到；轮换一次即可切换到新地址。
移动代理指南完整介绍了端口的工作原理，亚洲移动代理页面列出了支持的移动运营商及端口价格（$3/天 起）。如需了解位于家庭宽带线路后的住宅 IP，请参阅住宅代理与移动代理对比。
如何判断自己是否处于 CGNAT 之后？
如果手机或路由器显示的地址与网站看到的公网地址不同，且显示的地址位于 100.64.0.0/10 或其他私有地址段内，说明您处于 CGNAT 之后。可通过以下四步确认：
- 查看本地地址。 在路由器上打开状态页面，记下 WAN 或互联网 IP。在使用移动数据的 Android 手机上，可在"关于手机 → 状态信息"中查看 IP 地址（路径因品牌而异）。
- 查看公网地址。 在同一网络连接下打开任意"what is my IP"（查询我的 IP）页面。
- 比较两者。 如果两者不同，且本地地址以 100.64 至 100.127 或 10. 开头，说明运营商正在转换您的流量。
- 运行 traceroute。 在 Windows 上运行
tracert 1.1.1.1，在 macOS 和 Linux 上运行traceroute 1.1.1.1：如果靠前的跳点位于 100.64.0.0/10 内，即表明存在运营商的 NAT 层。
常见问题
100.64.0.0/10 是私有 IP 地址段吗？
不属于 RFC 1918 意义上的私有地址。RFC 6598 称之为共享地址空间：它不得出现在公共互联网上，专用于运营商 NAT 与用户之间的链路，而非家庭或办公网络。
所有移动运营商都使用 CGNAT 吗？
目前没有公开数据能给出使用 CGNAT 的运营商的确切比例。任何活跃 IPv4 用户数多于其公网 IPv4 地址数的运营商都必须共享地址，因此 NAT 已成为移动数据网络的标准做法。
网站能看到我的 100.64.x.x 地址吗？
不能。运营商的 NAT 会在数据包离开运营商网络之前替换私有地址，因此网站只能看到共享的公网地址和一个端口号。
为什么无法在 CGNAT 后架设服务器？
入站连接到达的是共享公网地址，而 NAT 中没有将其转发到您设备的映射。若要在 CGNAT 后架设游戏服务器或摄像头直播，需要向运营商申请公网 IP，或使用出站隧道。
移动代理轮换会给我一个新的 CGNAT 地址吗？
会。轮换会让调制解调器重新连接，运营商会将新连接映射到其 IP 池中的某个公网地址，通常与之前不同。在 Jade Proxies，每次轮换都会使端口重新连接移动运营商，通常需要 5–15 秒。