CGNAT Explicado: Por Que Um IP Móvel Parece Milhares de Usuários
O NAT de nível de operadora coloca milhares de assinantes reais atrás de um único IP móvel. Esse fato é o motivo pelo qual um proxy móvel é a saída mais difícil de um site bloquear — e por que as plataformas tratam o tráfego móvel de forma diferente.
Aqui está o fato contraintuitivo no coração dos proxies móveis: um endereço IP que é compartilhado por milhares de estranhos é mais confiável do que um que você tem só para você. Isso não é uma peculiaridade — é a consequência direta de como as redes móveis atribuem endereços, um sistema chamado NAT de nível de operadora (CGNAT). Uma vez que você entende o CGNAT, toda a lógica de "por que os proxies móveis são tão difíceis de bloquear?" faz sentido. Este guia explica o que é CGNAT, por que ele existe e por que transforma um IP móvel na saída mais difícil para um site banir.
O que realmente é CGNAT
Seu roteador doméstico já faz tradução de endereços de rede: ele esconde os endereços privados dos seus dispositivos atrás de um IP público. O NAT de nível de operadora é a mesma ideia, um nível acima. O operador móvel insere uma camada adicional de tradução que coloca muitos assinantes — lares, telefones, dispositivos não relacionados — atrás de um único endereço IPv4 público. Do lado de fora, todo esse tráfego parece vir de um único endereço. Os dispositivos individuais são invisíveis atrás da camada de tradução da operadora e, crucialmente, os usuários não têm ideia de que isso está acontecendo. Ao contrário de uma VPN ou proxy, que as pessoas escolhem, o CGNAT é configurado silenciosamente pelo ISP dentro de sua própria rede.
O marcador técnico é o Espaço de Endereço Compartilhado definido no RFC 6598 — a faixa 100.64.0.0/10 — que as operadoras usam entre o seu dispositivo e a internet pública. Sua presença em um traceroute é uma impressão digital confiável do CGNAT.
Por que as operadoras fazem isso: o IPv4 simplesmente acabou
O motivo é aritmético. O design de 32 bits do IPv4 permite cerca de 4,3 bilhões de endereços únicos, um número que uma vez pareceu ilimitado e foi completamente superado pelo crescimento da internet. No início dos anos 2010, os registros regionais haviam esgotado seus pools de endereços IPv4 não alocados, deixando os ISPs incapazes de simplesmente comprar mais. O CGNAT foi a solução prática: em vez de um endereço público por cliente, colocar muitos clientes atrás de cada endereço. A pressão é maior nas redes móveis, onde há uma década a maioria das conexões eram smartphones e hoje a mesma infraestrutura também carrega terminais de pagamento, câmeras, roteadores, sensores e inúmeros outros dispositivos. O IPv6 é a solução a longo prazo, mas como diz o velho ditado, nada é mais permanente do que uma solução temporária — e o CGNAT continua comum tanto no 4G quanto no 5G. Uma nova geração de tecnologia móvel não o eliminou, porque a escassez nunca foi um problema do 4G.
O problema do dano colateral que protege os IPs móveis
A maioria das defesas contra abusos na web — listas de bloqueio, limites de taxa, detecção de anomalias — foram construídas com uma suposição: que um endereço IP mapeia para uma única entidade responsável, aproximadamente um usuário. O CGNAT destrói essa suposição. Quando centenas ou milhares de assinantes não relacionados compartilham um IP público, bloquear esse IP por causa de um mau ator pune todos atrás dele. Já em 2015, o regulador do Reino Unido, Ofcom, alertou que colocar na lista negra um endereço CGNAT poderia afetar "toda uma base de assinantes." O IETF documentou a mesma tensão anos antes no RFC 6269 e RFC 7021: a mitigação tradicional de bloquear o IP falha quando o IP é compartilhado.
Este é um problema tão real que o Cloudflare construiu um classificador de aprendizado de máquina especificamente para detectar CGNAT para evitar o bloqueio excessivo desses endereços — treinando-o em um conjunto rotulado de mais de 200.000 IPs CGNAT, 180.000 IPs de VPN e proxy, e quase 900.000 endereços de assinante único, usando traceroutes de mais de 9.000 sondas de medição em todo o mundo. Todo o objetivo desse esforço é tratar os endereços móveis compartilhados com cuidado, porque bani-los causa danos desproporcionais — e afeta desproporcionalmente os usuários em regiões em desenvolvimento, onde o CGNAT é mais comum.
Por que isso torna os proxies móveis os mais difíceis de bloquear
Agora junte os dois fatos. Um proxy móvel roteia sua solicitação através de um IP de operadora real que já está atrás do CGNAT, compartilhando espaço com milhares de usuários reais de telefone. Para o site de destino, seu tráfego é estatisticamente indistinguível dos clientes móveis comuns nesse mesmo endereço. Bloqueá-lo significa bloquear todos eles — exatamente o dano colateral que as plataformas e os fornecedores de anti-bot trabalham arduamente para evitar. Essa é a vantagem de confiança em uma frase: um IP móvel não é confiável porque é limpo, mas porque bani-lo é muito caro.
- Identidade compartilhada — suas solicitações se misturam a uma multidão de assinantes reais no mesmo endereço, então a pontuação de anomalias por IP tem dificuldade em destacá-lo.
- Alto custo de banimento — um site que bloqueia o IP corre o risco de bloquear clientes móveis pagantes, então o limiar para agir é muito mais alto do que para uma faixa de datacenter.
- Rotação natural — as operadoras reatribuem esses endereços entre assinantes ao longo do tempo, então a associação de um IP móvel com qualquer sessão é inerentemente de curta duração.
- ASN e reputação reais — o endereço pertence a uma operadora móvel, não a um provedor de hospedagem, então não carrega nenhum dos problemas de reputação de datacenter.
Compare os níveis diretamente e a classificação é sobre dano colateral, não limpeza. Um IP de datacenter tem um inquilino e seu próprio ASN de hospedagem, então bani-lo não prejudica nenhum espectador inocente — barato para bloquear, menor confiança. Um IP residencial é uma linha doméstica real compartilhada por um punhado de pessoas — algum custo de banimento, alta confiança. Um IP CGNAT móvel carrega milhares de usuários reais — bloqueá-lo é um dano colateral em massa, então os sites evitam isso, o que é a maior confiança de todas.
Obtenha proxies móveis em IPs de operadora real
Quando realmente recorrer a um proxy móvel
Confiança não é gratuita — a largura de banda móvel é o nível mais caro, então proxies móveis justificam seu custo nos alvos mais difíceis, não em todos os lugares. Use-os onde a reputação de IP é a barreira: gerenciar várias contas em plataformas que identificam agressivamente IPs, verificar a entrega de anúncios móveis ou fazer scraping de sites que bloqueiam faixas residenciais. Para alvos mais lenientes, um proxy residencial é o melhor custo-benefício. Nossos guias sobre proxies móveis vs residenciais vs ISP e por que IPs móveis estão se tornando o padrão mapeiam qual nível se encaixa em qual trabalho, e reputação de IP vs impressão digital de dispositivo cobre a outra metade de permanecer desbloqueado.
Perguntas frequentes
O que é CGNAT?
NAT de nível de operadora é uma técnica onde um provedor de internet coloca muitos assinantes atrás de um único endereço IPv4 público compartilhado, usando uma camada extra de tradução dentro de sua rede. Ele existe porque os endereços IPv4 acabaram, e é especialmente comum em redes móveis. Os usuários não estão cientes disso — ao contrário de uma VPN, ele é configurado silenciosamente pela operadora.
Por que proxies móveis são mais difíceis de bloquear?
Porque o CGNAT coloca milhares de usuários reais atrás de cada IP móvel, bloquear esse endereço bloquearia todos eles — dano colateral inaceitável para a maioria dos sites. Seu tráfego proxy se mistura a essa multidão de assinantes genuínos, então as defesas por IP têm dificuldade em isolá-lo e o custo de banir o IP é muito maior do que para uma faixa de datacenter.
Qual é a faixa de IP do CGNAT?
O Espaço de Endereço Compartilhado reservado para NAT de nível de operadora é 100.64.0.0/10, definido no RFC 6598. As operadoras o usam entre o dispositivo do assinante e a internet pública. Detectar um endereço nessa faixa dentro de um traceroute é um forte indicador de que a conexão está atrás de CGNAT.
O 5G elimina o CGNAT?
Não. O endereçamento compartilhado nunca foi uma limitação do 4G — ele existe porque os dispositivos conectados cresceram muito mais rápido do que o pool de endereços IPv4 disponíveis. O CGNAT continua comum tanto em redes 4G quanto 5G. A adoção mais ampla do IPv6 pode reduzir a dependência dele ao longo do tempo, mas por enquanto ainda é padrão em dispositivos móveis.
CGNAT é a razão silenciosa pela qual proxies móveis comandam um prêmio: eles herdam a confiança dos milhares de assinantes reais que compartilham cada IP de operadora. Os sites não podem banir esse endereço sem prejudicar seus próprios usuários, então geralmente não o fazem. Quando a reputação de IP é o obstáculo entre você e um alvo, essa é a vantagem que um IP móvel oferece.