CGNAT объяснено: почему один мобильный IP выглядит как тысячи пользователей
Carrier-grade NAT скрывает тысячи реальных абонентов за одним мобильным IP. Этот факт делает мобильный прокси самым сложным для блокировки выходом для веб-сайта — и именно поэтому платформы по-разному относятся к мобильному трафику.
Вот парадоксальный факт, лежащий в основе мобильных прокси: IP-адрес, которым пользуются тысячи незнакомцев, более заслуживает доверия, чем тот, который принадлежит только вам. Это не странность — это прямое следствие того, как мобильные сети назначают адреса, система, называемая carrier-grade NAT (CGNAT). Как только вы поймете CGNAT, вся логика "почему мобильные прокси так сложно заблокировать?" станет ясной. Это руководство объясняет, что такое CGNAT, почему он существует и почему он превращает мобильный IP в самый сложный для блокировки выход для веб-сайта.
Что на самом деле такое CGNAT
Ваш домашний роутер уже выполняет трансляцию сетевых адресов: он скрывает частные адреса ваших устройств за одним публичным IP. Carrier-grade NAT — это та же идея, но на один уровень выше. Мобильный оператор добавляет дополнительный слой трансляции, который скрывает множество абонентов — домохозяйств, телефонов, несвязанных устройств — за одним публичным IPv4-адресом. Снаружи весь этот трафик выглядит как исходящий с одного адреса. Индивидуальные устройства невидимы за слоем трансляции оператора, и, что важно, пользователи не знают, что это происходит. В отличие от VPN или прокси, которые люди выбирают, CGNAT настраивается провайдером тихо внутри его собственной сети.
Технический маркер — это Shared Address Space, определенный в RFC 6598 — диапазон 100.64.0.0/10, который операторы используют между вашим устройством и публичным интернетом. Его присутствие в traceroute — надежный отпечаток CGNAT.
Почему операторы это делают: IPv4 просто закончился
Причина — арифметика. 32-битная архитектура IPv4 позволяет создать около 4,3 миллиарда уникальных адресов, число, которое когда-то казалось безграничным и было полностью обогнано ростом интернета. К началу 2010-х годов региональные регистраторы исчерпали свои пулы нераспределенных IPv4-адресов, оставив провайдеров без возможности просто купить больше. CGNAT стал практическим решением: вместо одного публичного адреса на клиента, размещайте множество клиентов за каждым адресом. Давление сильнее всего на мобильных сетях, где десятилетие назад большинство подключений составляли смартфоны, а сегодня та же инфраструктура также обслуживает платежные терминалы, камеры, роутеры, сенсоры и бесчисленные другие устройства. IPv6 — это долгосрочное решение, но, как говорится, нет ничего более постоянного, чем временное решение — и CGNAT остается распространенным как в 4G, так и в 5G. Новое поколение мобильных технологий не устранило его, потому что дефицит никогда не был проблемой 4G.
Проблема побочного ущерба, защищающая мобильные IP
Большинство защит от злоупотреблений в интернете — черные списки, ограничения скорости, обнаружение аномалий — были построены на одном предположении: что IP-адрес соответствует одной ответственной сущности, примерно одному пользователю. CGNAT разрушает это предположение. Когда сотни или тысячи несвязанных абонентов делят один публичный IP, блокировка этого IP из-за одного злоумышленника наказывает всех, кто за ним стоит. Еще в 2015 году британский регулятор Ofcom предупреждал, что занесение в черный список адреса CGNAT может затронуть "всю абонентскую базу". IETF задокументировал то же напряжение годами ранее в RFC 6269 и RFC 7021: традиционная защита "заблокировать IP" рушится, когда IP делится.
Это настолько реальная проблема, что Cloudflare создал классификатор на основе машинного обучения специально для обнаружения CGNAT, чтобы избежать чрезмерной блокировки этих адресов — обучая его на размеченном наборе из более чем 200,000 CGNAT IP, 180,000 VPN и прокси IP и почти 900,000 адресов одиночных абонентов, используя traceroutes из более чем 9,000 измерительных зондов по всему миру. Вся суть этого усилия — мягко обращаться с общими мобильными адресами, потому что их блокировка вызывает несоразмерный ущерб — и непропорционально затрагивает пользователей в развивающихся регионах, где CGNAT наиболее распространен.
Почему это делает мобильные прокси самыми сложными для блокировки
Теперь соедините два факта. Мобильный прокси направляет ваш запрос через реальный IP оператора, который уже находится за CGNAT, деля пространство с тысячами настоящих пользователей телефонов. Для целевого сайта ваш трафик статистически неотличим от обычных мобильных клиентов на том же адресе. Блокировка его означает блокировку всех их — именно тот побочный ущерб, которого платформы и поставщики антиботов стараются избежать. Это и есть преимущество доверия в одном предложении: мобильный IP заслуживает доверия не потому, что он чистый, а потому что его блокировка слишком дорога.
- Общая идентичность — ваши запросы сливаются с толпой реальных абонентов на том же адресе, поэтому оценка аномалий по IP затрудняет выделение вас.
- Высокая стоимость блокировки — сайт, который блокирует IP, рискует отключить платящих мобильных клиентов, поэтому порог для действий гораздо выше, чем для диапазона дата-центра.
- Естественная ротация — операторы перераспределяют эти адреса среди абонентов со временем, поэтому связь мобильного IP с любой одной сессией по своей сути недолговечна.
- Реальный ASN и репутация — адрес принадлежит мобильному оператору, а не хостинг-провайдеру, поэтому он не несет с собой багаж дата-центра, который нарушает правила репутации.
Сравните уровни напрямую, и рейтинг будет касаться побочного ущерба, а не чистоты. IP дата-центра имеет одного арендатора и свой собственный хостинг ASN, поэтому его блокировка не вредит невинным свидетелям — дешево заблокировать, наименьшее доверие. Резидентский IP — это реальная домашняя линия, которой пользуются несколько человек — некоторая стоимость блокировки, высокое доверие. Мобильный CGNAT IP обслуживает тысячи реальных пользователей — его блокировка является массовым побочным ущербом, поэтому сайты избегают этого, что является наивысшим доверием из всех.
Получите мобильные прокси на реальных IP операторов
Когда действительно стоит использовать мобильный прокси
Доверие не бесплатно — мобильная пропускная способность является самым дорогим уровнем, поэтому мобильные прокси оправдывают свою стоимость на самых сложных целях, а не везде. Используйте их там, где репутация IP является стеной: управление несколькими аккаунтами на платформах, которые агрессивно отслеживают IP, проверка доставки мобильной рекламы или парсинг сайтов, которые блокируют резидентские диапазоны. Для более мягких целей резидентский прокси будет более выгодным. Наши руководства по мобильные vs резидентские vs ISP прокси и почему мобильные IP становятся стандартом показывают, какой уровень подходит для какой задачи, а репутация IP vs отпечатки устройств охватывает другую половину, чтобы оставаться незаблокированным.
Часто задаваемые вопросы
Что такое CGNAT?
Carrier-grade NAT — это техника, при которой интернет-провайдер размещает множество абонентов за одним общим публичным IPv4-адресом, используя дополнительный слой трансляции внутри своей сети. Он существует, потому что IPv4-адреса закончились, и особенно распространен в мобильных сетях. Пользователи не знают об этом — в отличие от VPN, он настраивается тихо оператором.
Почему мобильные прокси сложнее заблокировать?
Потому что CGNAT размещает тысячи реальных пользователей за каждым мобильным IP, блокировка этого адреса заблокировала бы всех их — неприемлемый побочный ущерб для большинства сайтов. Ваш проксированный трафик сливается с этой толпой настоящих абонентов, поэтому защита по IP затрудняет изоляцию вас, и стоимость блокировки IP гораздо выше, чем для диапазона дата-центра.
Каков диапазон CGNAT IP?
Общая адресная область, зарезервированная для carrier-grade NAT, — это 100.64.0.0/10, определенная в RFC 6598. Операторы используют его между устройством абонента и публичным интернетом. Обнаружение адреса в этом диапазоне внутри traceroute — сильный индикатор того, что соединение находится за CGNAT.
Избавляется ли 5G от CGNAT?
Нет. Общий адрес никогда не был ограничением 4G — он существует потому, что подключенные устройства росли гораздо быстрее, чем пул доступных IPv4-адресов. CGNAT остается распространенным как в 4G, так и в 5G сетях. Более широкое внедрение IPv6 может со временем уменьшить зависимость от него, но пока это все еще стандарт на мобильных устройствах.
CGNAT — тихая причина, по которой мобильные прокси стоят дороже: они наследуют доверие тысяч реальных абонентов, которые делят каждый IP оператора. Сайты не могут заблокировать этот адрес, не навредив своим собственным пользователям, поэтому в основном этого не делают. Когда репутация IP — это препятствие между вами и целью, это то преимущество, которое покупает мобильный IP.