# 什么是 CGNAT？为什么移动 IP 很难被封禁？

> CGNAT（运营商级 NAT）是移动运营商让大量用户共用一个公网 IPv4 地址的技术：每台设备获得一个私有地址（通常来自 RFC 6598 保留的 100.64.0.0/10 地址段），再由运营商的 NAT 进行转换。因此封禁一个移动 IP 会同时封禁许多真实用户。Jade Proxies 的 4G/5G 端口正是通过这类运营商地址出口。

来源： https://jadeproxies.com/zh/what-is-cgnat/ · Jade Proxies · 更新于 2026年10月29日

**关键数据: 4,194,304** — 根据 Jade Proxies 的计算，RFC 6598 为运营商级 NAT 保留的 100.64.0.0/10 共享地址空间包含 4,194,304 个地址：2^(32 − 10) = 2^22，恰好占整个 IPv4 地址空间的 1/1,024。 (RFC 6598（IETF，2012年4月），由 Jade Proxies 研究部计算，2026年10月29日)


## CGNAT 是如何工作的？

CGNAT 的原理是在移动运营商网络内部增加一层地址转换：运营商为每个用户分配一个私有地址，当流量发往互联网时，再将其改写为一个共享的公网 IPv4 地址和端口。回复数据返回到该公网地址和端口后，由 NAT 转发给对应的用户。

| 阶段 | 使用的地址 | 示例 |
|---|---|---|
| 运营商网络中的手机或调制解调器 | 来自共享地址空间的私有地址 | 100.72.15.9 |
| 运营商级 NAT | 私有地址和端口映射到公网地址和端口 | 100.72.15.9:51022 → 203.0.113.40:20511 |
| 网站 | 仅公网地址 | 203.0.113.40 |

一个公网 IPv4 地址提供 65,536 个端口号（2^16），NAT 会将这些端口分配给同一时刻共用该地址的用户。一个地址由多少用户共用，由各移动运营商自行设定，且不对外公布。

## 什么是 100.64.0.0/10 共享地址空间？

100.64.0.0/10 是 IETF 于 2012年4月发布的 RFC 6598 所保留的 IPv4 地址段，专用于运营商 NAT 与其用户之间的链路。其范围为 100.64.0.0 至 100.127.255.255，从不在公共互联网上路由，并且独立于家庭和办公网络使用的私有地址段，因此用户自己的路由器不会与运营商的地址规划冲突。

根据 Jade Proxies 对 RFC 6598 的计算，该地址段包含 4,194,304 个地址。/10 表示固定 IPv4 地址 32 位中的前 10 位，剩余 22 位可用：2^(32 − 10) = 2^22 = 4,194,304。这恰好是全部 IPv4 地址空间 4,294,967,296（2^32）个地址的 1/1,024。

| 地址段 | 定义来源 | 地址数量 | 典型用途 |
|---|---|---|---|
| 10.0.0.0/8 | RFC 1918 | 16,777,216 | 企业网络；部分移动运营商也在其 NAT 后使用 |
| 172.16.0.0/12 | RFC 1918 | 1,048,576 | 企业和云网络 |
| 192.168.0.0/16 | RFC 1918 | 65,536 | 家用路由器 |
| 100.64.0.0/10 | RFC 6598 | 4,194,304 | 运营商级 NAT（共享地址空间） |

## 移动运营商为什么采用 CGNAT？

移动运营商采用 CGNAT 是因为 IPv4 地址已经耗尽：该协议总共只有 4,294,967,296 个地址，其中一部分还被保留，而移动用户数量以数十亿计。根据 Ericsson 2026年6月的《移动市场报告》（Mobility Report），仅 5G 用户就约有 33 亿。

亚洲最先受到地址短缺的冲击。IANA 于 2011年2月将最后一批空闲 IPv4 地址块分配给各地区注册机构，而负责亚太地区的注册机构 APNIC 于 2011年4月便启用了最后一个地址块，早于其他所有地区。从那时起，在亚洲新增用户的运营商只能通过 NAT 共享已有地址，或在转让市场上购买地址块。

## 为什么移动 IP 很难被封禁？

移动 IP 难以封禁，是因为 CGNAT 后的一个公网地址在同一时刻代表着许多真实用户，封禁该地址也会把没有任何违规行为的客户拒之门外。一个电商平台或社交网络如果封禁某个 Telkomsel 或 Jio 地址，就等于切断了自己在该运营商上的一部分用户。

因此，平台会使用比封禁 IP 更精细的手段：

- **速率限制**：按地址限速，让单个高频用户变慢，而其他用户不受影响。
- **验证挑战**：如 CAPTCHA 验证码或登录确认，真实手机用户可以顺利通过。
- **账户和设备信号**：如 Cookie、登录历史和应用指纹，这些信号跟随用户而非地址。

| IP 类型 | 一个公网地址背后是谁 | 封禁的代价 |
|---|---|---|
| 数据中心 | 一台服务器或一个客户 | 低：很少有真实访客从托管 IP 段访问 |
| 住宅 | 一个家庭（除非宽带运营商（ISP）也使用 CGNAT） | 中等：一个家庭被拒之门外 |
| 移动（CGNAT） | 同一时刻的大量用户 | 高：该运营商的真实客户被拒之门外 |

## IPv6 会带来什么变化？

IPv6 消除了共享地址的需要：IPv6 拥有 2^128 个可能的地址，移动网络会为每个数据连接分配独立的 /64 前缀，因此手机的 IPv6 流量不会像 CGNAT 后的 IPv4 流量那样与其他用户合并。对 IPv6 实施速率限制的服务会针对整个 /64 前缀而不是单个地址，因为整个前缀都由同一个用户控制。

许多移动运营商同时运行 IPv6 和 IPv4，手机对支持 IPv6 的网站使用 IPv6，其余则通过 CGNAT 访问。本文所述的共享地址效应适用于 IPv4 出口。

## CGNAT 对代理用户意味着什么？

对代理用户而言，CGNAT 意味着移动出口 IP 既是共享的，也是可变的：轮换端口会向移动运营商申请一个新的公网地址，而在两次轮换之间，该地址也可能承载普通用户的流量。由此带来三个实际影响。

1. **轮换会更换公网 IP。** 轮换后，运营商会将端口的新连接映射到其 IP 池中的新公网地址；每次轮换都会使端口重新连接移动运营商，通常需要 5–15 秒。使用 Jade Proxies，您将获得可通过轮换链接或 API 调用按需更换 IP，最多每 30 秒一次，或设置自动定时更换，间隔从 2 分钟到 24 小时不等。
2. **两次轮换之间 IP 保持固定。** RFC 6888 要求运营商 NAT 将同一用户的所有连接保持在同一个公网地址上（"paired" pooling，即配对池化），因此保持流量持续的会话会停留在同一 IP 上。长时间空闲后，下一个连接可能从另一个地址出口。如何规划会话时长，请参阅[轮换与粘性会话指南](https://jadeproxies.com/zh/rotating-vs-sticky-proxies/)。
3. **IP 信誉是共享的。** 独享端口意味着独享调制解调器，而不是独占公网 IP。如果同一地址上的其他用户触发了 CAPTCHA，您也会遇到；轮换一次即可切换到新地址。

[移动代理指南](https://jadeproxies.com/zh/what-is-a-mobile-proxy/)完整介绍了端口的工作原理，[亚洲移动代理](https://jadeproxies.com/zh/asian-mobile-proxies/)页面列出了支持的移动运营商及端口价格（$3/天 起）。如需了解位于家庭宽带线路后的住宅 IP，请参阅[住宅代理与移动代理对比](https://jadeproxies.com/zh/residential-vs-mobile-proxies-for-asia/)。

## 如何判断自己是否处于 CGNAT 之后？

如果手机或路由器显示的地址与网站看到的公网地址不同，且显示的地址位于 100.64.0.0/10 或其他私有地址段内，说明您处于 CGNAT 之后。可通过以下四步确认：

1. **查看本地地址。** 在路由器上打开状态页面，记下 WAN 或互联网 IP。在使用移动数据的 Android 手机上，可在"关于手机 → 状态信息"中查看 IP 地址（路径因品牌而异）。
2. **查看公网地址。** 在同一网络连接下打开任意"what is my IP"（查询我的 IP）页面。
3. **比较两者。** 如果两者不同，且本地地址以 100.64 至 100.127 或 10. 开头，说明运营商正在转换您的流量。
4. **运行 traceroute。** 在 Windows 上运行 `tracert 1.1.1.1`，在 macOS 和 Linux 上运行 `traceroute 1.1.1.1`：如果靠前的跳点位于 100.64.0.0/10 内，即表明存在运营商的 NAT 层。

## 常见问题

### 100.64.0.0/10 是私有 IP 地址段吗？

不属于 RFC 1918 意义上的私有地址。RFC 6598 称之为共享地址空间：它不得出现在公共互联网上，专用于运营商 NAT 与用户之间的链路，而非家庭或办公网络。

### 所有移动运营商都使用 CGNAT 吗？

目前没有公开数据能给出使用 CGNAT 的运营商的确切比例。任何活跃 IPv4 用户数多于其公网 IPv4 地址数的运营商都必须共享地址，因此 NAT 已成为移动数据网络的标准做法。

### 网站能看到我的 100.64.x.x 地址吗？

不能。运营商的 NAT 会在数据包离开运营商网络之前替换私有地址，因此网站只能看到共享的公网地址和一个端口号。

### 为什么无法在 CGNAT 后架设服务器？

入站连接到达的是共享公网地址，而 NAT 中没有将其转发到您设备的映射。若要在 CGNAT 后架设游戏服务器或摄像头直播，需要向运营商申请公网 IP，或使用出站隧道。

### 移动代理轮换会给我一个新的 CGNAT 地址吗？

会。轮换会让调制解调器重新连接，运营商会将新连接映射到其 IP 池中的某个公网地址，通常与之前不同。在 Jade Proxies，每次轮换都会使端口重新连接移动运营商，通常需要 5–15 秒。