CGNAT spiegato: perché un IP mobile sembra migliaia di utenti
Il NAT a livello di operatore raggruppa migliaia di veri abbonati dietro un singolo IP mobile. Questo è il motivo per cui un proxy mobile è l'uscita più difficile da bloccare per un sito web — e perché le piattaforme trattano il traffico mobile in modo diverso.
Ecco il fatto controintuitivo al cuore dei proxy mobili: un indirizzo IP condiviso da migliaia di sconosciuti è più affidabile di uno che hai tutto per te. Non è un capriccio — è la diretta conseguenza del modo in cui le reti mobili assegnano gli indirizzi, un sistema chiamato carrier-grade NAT (CGNAT). Una volta che comprendi CGNAT, tutta la logica del "perché i proxy mobili sono così difficili da bloccare?" diventa chiara. Questa guida spiega cos'è CGNAT, perché esiste e perché trasforma un IP mobile nell'uscita singola più difficile da bannare per un sito web.
Cosa è realmente CGNAT
Il tuo router domestico già esegue la traduzione degli indirizzi di rete: nasconde gli indirizzi privati dei tuoi dispositivi dietro un unico IP pubblico. Il NAT a livello di operatore è la stessa idea, un livello più in alto. L'operatore mobile inserisce un ulteriore strato di traduzione che mette molti abbonati — famiglie, telefoni, dispositivi non correlati — dietro un unico indirizzo IPv4 pubblico. Dall'esterno, tutto quel traffico sembra provenire da un unico indirizzo. I singoli dispositivi sono invisibili dietro lo strato di traduzione dell'operatore e, cosa cruciale, gli utenti non hanno idea che stia accadendo. A differenza di una VPN o di un proxy, che le persone scelgono, CGNAT è configurato silenziosamente dall'ISP all'interno della propria rete.
L'indicatore tecnico è lo Spazio di Indirizzi Condiviso definito in RFC 6598 — l'intervallo 100.64.0.0/10 — che gli operatori utilizzano tra il tuo dispositivo e l'internet pubblico. La sua presenza in un traceroute è un'impronta digitale affidabile di CGNAT.
Perché gli operatori lo fanno: IPv4 è semplicemente esaurito
Il motore è l'aritmetica. Il design a 32 bit di IPv4 consente circa 4,3 miliardi di indirizzi unici, un numero che una volta sembrava illimitato ed è stato completamente superato dalla crescita di internet. All'inizio degli anni 2010, i registri regionali avevano esaurito i loro pool di indirizzi IPv4 non allocati, lasciando gli ISP incapaci di acquistarne altri. CGNAT era la soluzione pratica: invece di un indirizzo pubblico per cliente, mettere molti clienti dietro ogni indirizzo. La pressione è peggiore sulle reti mobili, dove un decennio fa la maggior parte delle connessioni erano smartphone e oggi la stessa infrastruttura trasporta anche terminali di pagamento, telecamere, router, sensori e innumerevoli altri dispositivi. IPv6 è la soluzione a lungo termine, ma come dice il vecchio adagio, nulla è più permanente di una soluzione temporanea — e CGNAT rimane comune sia su 4G che su 5G. Una nuova generazione di tecnologia mobile non l'ha eliminato, perché la carenza non è mai stata un problema di 4G.
Il problema dei danni collaterali che protegge gli IP mobili
La maggior parte delle difese contro gli abusi sul web — blocklist, limiti di velocità, rilevamento delle anomalie — sono state costruite su un presupposto: che un indirizzo IP corrisponda a un'entità responsabile, approssimativamente un utente. CGNAT infrange questo presupposto. Quando centinaia o migliaia di abbonati non correlati condividono un unico IP pubblico, bloccare quell'IP a causa di un attore malintenzionato punisce tutti quelli dietro di esso. Già nel 2015, il regolatore britannico Ofcom ha avvertito che inserire in blacklist un indirizzo CGNAT potrebbe influenzare "un'intera base di abbonati". L'IETF ha documentato la stessa tensione anni prima in RFC 6269 e RFC 7021: la mitigazione tradizionale del blocco dell'IP si rompe quando l'IP è condiviso.
Questo è un problema così reale che Cloudflare ha costruito un classificatore di machine learning specificamente per rilevare CGNAT in modo da evitare di bloccare eccessivamente quegli indirizzi — addestrandolo su un set etichettato di oltre 200.000 IP CGNAT, 180.000 IP VPN e proxy, e quasi 900.000 indirizzi di singoli abbonati, utilizzando traceroute da oltre 9.000 sonde di misurazione in tutto il mondo. L'intero scopo di questo sforzo è trattare con delicatezza gli indirizzi mobili condivisi, perché bannarli causa danni sproporzionati — e colpisce in modo sproporzionato gli utenti nelle regioni in via di sviluppo, dove CGNAT è più comune.
Perché questo rende i proxy mobili i più difficili da bloccare
Ora metti insieme i due fatti. Un proxy mobile instrada la tua richiesta attraverso un vero IP dell'operatore che già si trova dietro CGNAT, condividendo lo spazio con migliaia di veri utenti telefonici. Per il sito di destinazione, il tuo traffico è statisticamente indistinguibile dai normali clienti mobili su quello stesso indirizzo. Bloccarlo significa bloccare tutti loro — esattamente il danno collaterale che le piattaforme e i fornitori di anti-bot lavorano duramente per evitare. Questo è il vantaggio di fiducia in una frase: un IP mobile non è affidabile perché è pulito, ma perché bannarlo è troppo costoso.
- Identità condivisa — le tue richieste si mescolano a una folla di veri abbonati sullo stesso indirizzo, quindi il punteggio di anomalie per IP fatica a individuarti.
- Alto costo di ban — un sito che blocca l'IP rischia di escludere clienti mobili paganti, quindi la soglia per agire è molto più alta rispetto a un intervallo di datacenter.
- Rotazione naturale — gli operatori riassegnano questi indirizzi tra gli abbonati nel tempo, quindi l'associazione di un IP mobile con una qualsiasi sessione è intrinsecamente di breve durata.
- ASN e reputazione reale — l'indirizzo appartiene a un operatore mobile, non a un fornitore di hosting, quindi non porta con sé il bagaglio del datacenter che fa inciampare le regole di reputazione.
Confronta direttamente i livelli e la classifica riguarda i danni collaterali, non la pulizia. Un IP di datacenter ha un inquilino e il proprio ASN di hosting, quindi bannarlo non danneggia nessun innocente — economico da bloccare, fiducia più bassa. Un IP residenziale è una vera linea domestica condivisa da un piccolo gruppo di persone — qualche costo di ban, alta fiducia. Un IP mobile CGNAT trasporta migliaia di veri utenti — bloccarlo è un danno collaterale di massa, quindi i siti lo evitano, che è la fiducia più alta di tutte.
Ottieni proxy mobili su veri IP di operatori
Quando effettivamente utilizzare un proxy mobile
La fiducia non è gratuita — la larghezza di banda mobile è il livello più costoso, quindi i proxy mobili guadagnano il loro costo sugli obiettivi più difficili, non ovunque. Usali dove la reputazione dell'IP è il muro: gestire più account su piattaforme che identificano aggressivamente gli IP, verificare la consegna di annunci mobili o fare scraping su siti che bloccano gli intervalli residenziali. Per obiettivi più permissivi, un proxy residenziale è il miglior valore. Le nostre guide su proxy mobili vs residenziali vs ISP e perché gli IP mobili stanno diventando lo standard mappano quale livello si adatta a quale lavoro, e reputazione IP vs fingerprinting del dispositivo copre l'altra metà del rimanere non bloccati.
Domande frequenti
Cos'è CGNAT?
Il NAT a livello di operatore è una tecnica in cui un fornitore di internet posiziona molti abbonati dietro un singolo indirizzo IPv4 pubblico condiviso, utilizzando un ulteriore strato di traduzione all'interno della sua rete. Esiste perché gli indirizzi IPv4 sono esauriti, ed è particolarmente comune sulle reti mobili. Gli utenti non ne sono consapevoli — a differenza di una VPN, è configurato silenziosamente dall'operatore.
Perché i proxy mobili sono più difficili da bloccare?
Perché CGNAT mette migliaia di veri utenti dietro ogni IP mobile, bloccare quell'indirizzo significherebbe escluderli tutti — un danno collaterale inaccettabile per la maggior parte dei siti. Il tuo traffico proxy si mescola a quella folla di veri abbonati, quindi le difese per IP faticano a isolarti e il costo di bannare l'IP è molto più alto rispetto a un intervallo di datacenter.
Qual è l'intervallo IP di CGNAT?
Lo Spazio di Indirizzi Condiviso riservato per il NAT a livello di operatore è 100.64.0.0/10, definito in RFC 6598. Gli operatori lo utilizzano tra il dispositivo dell'abbonato e l'internet pubblico. Individuare un indirizzo in quell'intervallo all'interno di un traceroute è un forte indicatore che la connessione si trova dietro CGNAT.
Il 5G elimina CGNAT?
No. L'indirizzamento condiviso non è mai stato una limitazione del 4G — esiste perché i dispositivi connessi sono cresciuti molto più velocemente del pool di indirizzi IPv4 disponibili. CGNAT rimane comune sia sulle reti 4G che 5G. Una più ampia adozione di IPv6 potrebbe ridurre la dipendenza da esso nel tempo, ma per ora è ancora standard sul mobile.
CGNAT è la ragione silenziosa per cui i proxy mobili comandano un premio: ereditano la fiducia delle migliaia di veri abbonati che condividono ogni IP dell'operatore. I siti non possono bannare quell'indirizzo senza danneggiare i propri utenti, quindi per lo più non lo fanno. Quando la reputazione dell'IP è l'ostacolo tra te e un obiettivo, questo è il vantaggio che un IP mobile acquista.