CGNAT erklärt: Warum eine mobile IP wie Tausende von Nutzern aussieht
Carrier-grade NAT packt Tausende von echten Abonnenten hinter eine einzige mobile IP. Diese Tatsache macht einen mobilen Proxy zum schwierigsten Ausgang, den eine Website blockieren kann – und erklärt, warum Plattformen mobilen Datenverkehr anders behandeln.
Hier ist die kontraintuitive Tatsache im Kern von mobilen Proxies: Eine IP-Adresse, die von Tausenden von Fremden geteilt wird, ist vertrauenswürdiger als eine, die Sie ganz für sich allein haben. Das ist kein Zufall – es ist die direkte Folge davon, wie Mobilfunknetze Adressen zuweisen, ein System namens Carrier-grade NAT (CGNAT). Sobald Sie CGNAT verstehen, ergibt sich die gesamte Logik von "Warum sind mobile Proxies so schwer zu blockieren?" von selbst. Dieser Leitfaden erklärt, was CGNAT ist, warum es existiert und warum es eine mobile IP zur schwierigsten Ausgangsadresse macht, die eine Website sperren kann.
Was CGNAT tatsächlich ist
Ihr Heimrouter führt bereits eine Netzwerkadressübersetzung durch: Er verbirgt die privaten Adressen Ihrer Geräte hinter einer öffentlichen IP. Carrier-grade NAT ist die gleiche Idee, eine Ebene höher. Der Mobilfunkanbieter fügt eine zusätzliche Übersetzungsschicht hinzu, die viele Abonnenten – Haushalte, Telefone, nicht zusammenhängende Geräte – hinter einer einzigen öffentlichen IPv4-Adresse platziert. Von außen betrachtet scheint der gesamte Datenverkehr von einer Adresse zu kommen. Die einzelnen Geräte sind hinter der Übersetzungsschicht des Anbieters unsichtbar, und entscheidend ist, dass die Nutzer keine Ahnung haben, dass es passiert. Im Gegensatz zu einem VPN oder Proxy, die Menschen wählen, wird CGNAT stillschweigend vom ISP innerhalb seines eigenen Netzwerks konfiguriert.
Das technische Merkmal ist der Shared Address Space, der in RFC 6598 definiert ist – der 100.64.0.0/10-Bereich –, den Anbieter zwischen Ihrem Gerät und dem öffentlichen Internet verwenden. Seine Präsenz in einem Traceroute ist ein zuverlässiger Fingerabdruck von CGNAT.
Warum Anbieter es tun: IPv4 ist einfach ausgegangen
Der Treiber ist Arithmetik. Das 32-Bit-Design von IPv4 ermöglicht etwa 4,3 Milliarden eindeutige Adressen, eine Zahl, die einst grenzenlos schien und vom Wachstum des Internets vollständig überholt wurde. Anfang der 2010er Jahre hatten die regionalen Register ihre Pools an nicht zugewiesenen IPv4-Adressen erschöpft, sodass ISPs keine weiteren kaufen konnten. CGNAT war der praktische Workaround: Statt einer öffentlichen Adresse pro Kunde platziert man viele Kunden hinter jeder Adresse. Der Druck ist am größten bei Mobilfunknetzen, wo vor einem Jahrzehnt die meisten Verbindungen Smartphones waren und heute dieselbe Infrastruktur auch Zahlungsterminals, Kameras, Router, Sensoren und unzählige andere Geräte trägt. IPv6 ist die langfristige Lösung, aber wie das alte Sprichwort sagt, ist nichts dauerhafter als eine vorübergehende Lösung – und CGNAT bleibt sowohl bei 4G als auch bei 5G verbreitet. Eine neuere Generation von Mobilfunktechnik hat es nicht beseitigt, weil der Mangel nie ein 4G-Problem war.
Das Problem der Kollateralschäden, das mobile IPs schützt
Die meisten Missbrauchsabwehrmaßnahmen im Web – Blocklisten, Ratenbegrenzungen, Anomalieerkennung – basierten auf einer Annahme: dass eine IP-Adresse einer einzigen verantwortlichen Einheit zugeordnet ist, grob gesagt einem Benutzer. CGNAT zerstört diese Annahme. Wenn Hunderte oder Tausende von nicht zusammenhängenden Abonnenten eine öffentliche IP teilen, bestraft das Blockieren dieser IP wegen eines schlechten Akteurs alle dahinter. Bereits 2015 warnte der britische Regulierer Ofcom, dass das Blacklisting einer CGNAT-Adresse "eine gesamte Abonnentenbasis" betreffen könnte. Die IETF dokumentierte dieselbe Spannung Jahre zuvor in RFC 6269 und RFC 7021: Traditionelle Block-die-IP-Maßnahmen brechen zusammen, wenn die IP geteilt wird.
Dies ist ein so reales Problem, dass Cloudflare einen maschinellen Lernklassifikator speziell zur Erkennung von CGNAT entwickelt hat, um eine Überblockierung dieser Adressen zu vermeiden – trainiert auf einem gekennzeichneten Satz von mehr als 200.000 CGNAT-IPs, 180.000 VPN- und Proxy-IPs und fast 900.000 Einzelabonnenten-Adressen, unter Verwendung von Traceroutes von über 9.000 Messsonden weltweit. Der ganze Zweck dieses Aufwands besteht darin, geteilte mobile Adressen schonend zu behandeln, weil deren Sperrung unverhältnismäßigen Schaden verursacht – und unverhältnismäßig Nutzer in Entwicklungsländern betrifft, wo CGNAT am häufigsten vorkommt.
Warum das mobile Proxies zu den am schwersten zu blockierenden macht
Nun setzen Sie die beiden Fakten zusammen. Ein mobiler Proxy leitet Ihre Anfrage über eine echte Carrier-IP, die bereits hinter CGNAT sitzt und den Raum mit Tausenden von echten Telefonbenutzern teilt. Für die Zielseite ist Ihr Datenverkehr statistisch nicht von den gewöhnlichen mobilen Kunden auf derselben Adresse zu unterscheiden. Das Blockieren bedeutet, alle von ihnen zu blockieren – genau der Kollateralschaden, den Plattformen und Anti-Bot-Anbieter unbedingt vermeiden wollen. Das ist der Vertrauensvorteil in einem Satz: Eine mobile IP wird nicht vertraut, weil sie sauber ist, sondern weil das Sperren zu teuer ist.
- Geteilte Identität – Ihre Anfragen mischen sich unter eine Menge echter Abonnenten auf derselben Adresse, sodass die Anomalieerkennung pro IP Schwierigkeiten hat, Sie herauszugreifen.
- Hohe Sperrkosten – Eine Seite, die die IP blockiert, riskiert, zahlende mobile Kunden auszuschließen, sodass die Schwelle zum Handeln weit höher ist als bei einem Rechenzentrum.
- Natürliche Rotation – Anbieter weisen diese Adressen im Laufe der Zeit unter Abonnenten neu zu, sodass die Verbindung einer mobilen IP mit einer Sitzung von Natur aus kurzlebig ist.
- Echter ASN und Ruf – Die Adresse gehört zu einem Mobilfunkanbieter, nicht zu einem Hosting-Anbieter, sodass sie keinen der Rechenzentrumsballast mit sich bringt, der Reputationsregeln auslöst.
Vergleichen Sie die Stufen direkt und die Rangfolge dreht sich um Kollateralschäden, nicht um Sauberkeit. Eine Rechenzentrums-IP hat einen Mieter und ihren eigenen Hosting-ASN, sodass das Sperren keinen unschuldigen Zuschauer schädigt – billig zu blockieren, niedrigstes Vertrauen. Eine Wohn-IP ist eine echte Heimleitung, die von einer Handvoll Menschen geteilt wird – einige Sperrkosten, hohes Vertrauen. Eine mobile CGNAT-IP trägt Tausende von echten Nutzern – das Blockieren ist massiver Kollateralschaden, daher vermeiden es Seiten, was das höchste Vertrauen von allen ist.
Holen Sie sich mobile Proxies auf echten Carrier-IPs
Wann man tatsächlich zu einem mobilen Proxy greifen sollte
Vertrauen ist nicht kostenlos – mobile Bandbreite ist die teuerste Stufe, daher verdienen mobile Proxies ihre Kosten bei den härtesten Zielen, nicht überall. Verwenden Sie sie dort, wo der Ruf der IP die Mauer ist: beim Verwalten mehrerer Konten auf Plattformen, die IPs aggressiv fingerabdrücken, bei der Überprüfung der mobilen Anzeigenschaltung oder beim Scraping von Seiten, die Wohnbereiche blockieren. Für nachgiebige Ziele ist ein Wohnproxy das bessere Preis-Leistungs-Verhältnis. Unsere Leitfäden zu mobile vs residential vs ISP proxies und warum mobile IPs zum Standard werden zeigen, welche Stufe für welche Aufgabe geeignet ist, und IP-Reputation vs Geräte-Fingerabdruck behandelt die andere Hälfte des ungesperrt Bleibens.
Häufig gestellte Fragen
Was ist CGNAT?
Carrier-grade NAT ist eine Technik, bei der ein Internetanbieter viele Abonnenten hinter einer einzigen geteilten öffentlichen IPv4-Adresse platziert, indem er eine zusätzliche Übersetzungsschicht innerhalb seines Netzwerks verwendet. Es existiert, weil IPv4-Adressen ausgegangen sind, und es ist besonders häufig in Mobilfunknetzen. Nutzer sind sich dessen nicht bewusst – im Gegensatz zu einem VPN wird es stillschweigend vom Anbieter konfiguriert.
Warum sind mobile Proxies schwerer zu blockieren?
Weil CGNAT Tausende von echten Nutzern hinter jeder mobilen IP platziert, würde das Blockieren dieser Adresse alle von ihnen aussperren – inakzeptabler Kollateralschaden für die meisten Seiten. Ihr Proxy-Datenverkehr mischt sich unter diese Menge echter Abonnenten, sodass Abwehrmaßnahmen pro IP Schwierigkeiten haben, Sie zu isolieren, und die Kosten für das Sperren der IP weit höher sind als bei einem Rechenzentrum.
Was ist der CGNAT-IP-Bereich?
Der für Carrier-grade NAT reservierte Shared Address Space ist 100.64.0.0/10, definiert in RFC 6598. Anbieter verwenden ihn zwischen dem Gerät des Abonnenten und dem öffentlichen Internet. Das Erkennen einer Adresse in diesem Bereich innerhalb eines Traceroutes ist ein starkes Indiz dafür, dass die Verbindung hinter CGNAT sitzt.
Beseitigt 5G CGNAT?
Nein. Geteilte Adressierung war nie eine 4G-Beschränkung – sie existiert, weil verbundene Geräte weit schneller wuchsen als der Pool verfügbarer IPv4-Adressen. CGNAT bleibt sowohl in 4G- als auch in 5G-Netzwerken verbreitet. Eine breitere IPv6-Einführung könnte die Abhängigkeit davon im Laufe der Zeit verringern, aber derzeit ist es immer noch Standard auf mobilen Geräten.
CGNAT ist der stille Grund, warum mobile Proxies einen Aufpreis verlangen: Sie erben das Vertrauen der Tausenden von echten Abonnenten, die jede Carrier-IP teilen. Seiten können diese Adresse nicht sperren, ohne ihren eigenen Nutzern zu schaden, also tun sie es meist nicht. Wenn der Ruf der IP das Hindernis zwischen Ihnen und einem Ziel ist, ist das der Vorteil, den eine mobile IP bietet.