# CGNAT 详解：为什么一个移动 IP 看起来像数千用户

运营商级 NAT 将数千真实用户隐藏在一个移动 IP 背后。正是这一点使得移动代理成为网站最难封锁的出口——也是为什么平台对待移动流量的方式不同。

这里是移动代理核心的反直觉事实：一个由数千陌生人共享的 IP 地址比你独享的更值得信任。这不是一个巧合——这是移动网络如何分配地址的直接结果，这个系统被称为运营商级 NAT (CGNAT)。一旦你理解了 CGNAT，"为什么移动代理如此难以封锁？"的整个逻辑就会变得清晰。本指南解释了什么是 CGNAT，为什么它存在，以及为什么它使移动 IP 成为网站最难封锁的出口。

## CGNAT 实际上是什么

你的家用路由器已经在进行网络地址转换：它将你设备的私有地址隐藏在一个公共 IP 背后。运营商级 NAT 是同样的想法，上升了一个层次。移动运营商插入了一个额外的转换层，将许多用户——家庭、手机、无关设备——隐藏在一个公共 IPv4 地址背后。从外部看，所有这些流量似乎都来自一个地址。个别设备在运营商的转换层后面是不可见的，关键是用户不知道这一切正在发生。与用户选择的 VPN 或代理不同，CGNAT 是由 ISP 在其网络内部静默配置的。

技术标记是 RFC 6598 中定义的共享地址空间——`100.64.0.0/10` 范围——运营商在你的设备和公共互联网之间使用它。它在 traceroute 中的存在是 CGNAT 的可靠指纹。

## 运营商为什么要这么做：IPv4 已经耗尽

驱动因素是算术。IPv4 的 32 位设计允许大约 43 亿个唯一地址，这个数字曾经看似无限，但完全被互联网的增长所超越。到 2010 年代初，区域注册机构已经耗尽了未分配的 IPv4 地址池，使得 ISP 无法简单地购买更多。CGNAT 是实际的解决方案：不是每个客户一个公共地址，而是将许多客户放在每个地址后面。移动网络的压力最大，十年前大多数连接是智能手机，而今天相同的基础设施还承载着支付终端、摄像头、路由器、传感器和无数其他设备。IPv6 是长期解决方案，但正如老话所说，没有什么比临时解决方案更永久的了——CGNAT 在 4G 和 5G 上仍然很常见。新一代的移动技术没有消除它，因为短缺从来不是 4G 的问题。

![IPv4 如何耗尽、CGNAT 如何随之而来：32 位的设计约提供 43 亿个地址，各地址注册机构在 2010 年代初已无地址可分，运营商于是让大量用户共用一个公网地址。卡片列出了相关数字：43 亿个 IPv4 地址、每个移动 IP 背后数千名用户、100.64.0.0/10 地址段。](https://res.cloudinary.com/dmqliab0t/image/upload/f_auto,q_auto,w_1200/v1785335200/blog/generated/qp-b9-070-diag1.png)
*IPv4 耗尽迫使运营商将许多用户隐藏在每个公共地址后面——尤其是移动网络。*

## 保护移动 IP 的附带损害问题

大多数网络上的滥用防御——黑名单、速率限制、异常检测——都是基于一个假设：IP 地址对应于一个可负责的实体，大致一个用户。CGNAT 打破了这个假设。当数百或数千不相关的用户共享一个公共 IP 时，由于一个不良行为者而封锁该 IP 会惩罚所有在其后面的人。早在 2015 年，英国监管机构 Ofcom 就警告说，列入黑名单的 CGNAT 地址可能会影响“整个用户群”。IETF 在数年前的 RFC 6269 和 RFC 7021 中记录了同样的紧张关系：传统的封锁 IP 缓解措施在 IP 被共享时崩溃。

这是一个如此真实的问题，以至于 Cloudflare 专门构建了一个机器学习分类器来*检测* CGNAT，以避免过度封锁这些地址——在一个标记的超过 20 万个 CGNAT IP、18 万个 VPN 和代理 IP 以及接近 90 万个单一用户地址的集合上进行训练，使用来自全球 9,000 多个测量探针的 traceroute。整个努力的重点是温和对待共享的移动地址，因为封锁它们会造成不成比例的伤害——并且不成比例地影响发展中地区的用户，CGNAT 在这些地区最为常见。

## 为什么这使得移动代理最难封锁

现在将两个事实结合起来。一个移动代理通过一个已经在 CGNAT 背后的真实运营商 IP 路由你的请求，与数千真实手机用户共享空间。对于目标网站来说，你的流量在统计上与同一地址上的普通移动客户无异。封锁它意味着封锁所有这些用户——这正是平台和反机器人供应商努力避免的附带损害。用一句话来说，这就是信任优势：一个移动 IP 不是因为它干净而被信任，而是因为封锁它的代价太高。

- **共享身份**——你的请求融入同一地址上的真实用户群中，因此每个 IP 的异常评分难以将你单独挑出。
- **高封锁成本**——封锁 IP 的网站有可能锁定付费的移动客户，因此采取行动的门槛远高于数据中心范围。
- **自然轮换**——运营商随着时间的推移在用户之间重新分配这些地址，因此移动 IP 与任何一个会话的关联本质上是短暂的。
- **真实 ASN 和声誉**——该地址属于移动运营商，而不是托管提供商，因此它不携带触发声誉规则的数据中心包袱。

直接比较这些层级，排名是关于附带损害，而不是清洁度。一个数据中心 IP 有一个租户和它自己的托管 ASN，因此封锁它不会伤害无辜旁观者——便宜易封锁，信任最低。一个住宅 IP 是一个由少数人共享的真实家庭线路——一些封锁成本，高信任。一个移动 CGNAT IP 承载数千真实用户——封锁它是大规模附带损害，因此网站避免它，这是最高的信任。

[在真实运营商 IP 上获取移动代理](https://quantumproxies.io/mobile-proxies)

![三类 IP 的封禁代价刻度：只有一个租户的数据中心 IP 封起来成本很低，由几个人共用的住宅家庭线路有一定封禁代价，而背后有数千真实用户的移动 CGNAT IP 被封则会造成大规模附带损害。卡片按各自获得的信任度排序。](https://res.cloudinary.com/dmqliab0t/image/upload/f_auto,q_auto,w_1200/v1785335201/blog/generated/qp-b9-070-diag2.png)
*共享一个地址的真实用户越多，封锁的成本就越高——这正是为什么移动 IP 获得最多信任。*

## 何时真正使用移动代理

信任不是免费的——移动带宽是最昂贵的层级，因此移动代理在最难的目标上赚回它们的成本，而不是在每个地方。使用它们在 IP 声誉是墙的地方：管理多个在平台上积极指纹 IP 的账户，验证移动广告投放，或抓取封锁住宅范围的网站。对于宽松的目标，[住宅代理](https://quantumproxies.io/residential-proxies)更具价值。我们的指南[移动 vs 住宅 vs ISP 代理](https://quantumproxies.io/blog/mobile-vs-residential-vs-isp-proxies-which-one-should-you-use-in-2026)和[为什么移动 IP 正在成为标准](https://quantumproxies.io/blog/why-mobile-ips-are-becoming-the-standard)映射哪个层级适合哪个工作，[IP 声誉 vs 设备指纹](https://quantumproxies.io/blog/ip-reputation-vs-device-fingerprinting-what-matters-more)涵盖保持不被封锁的另一半。

## 常见问题解答

### 什么是 CGNAT？

运营商级 NAT 是一种技术，互联网提供商将许多用户放在一个共享的公共 IPv4 地址后面，在其网络内部使用一个额外的转换层。它的存在是因为 IPv4 地址耗尽，并且在移动网络上尤其常见。用户对此并不知情——与 VPN 不同，它是由运营商静默配置的。

### 为什么移动代理更难封锁？

因为 CGNAT 将数千真实用户放在每个移动 IP 后面，封锁该地址将锁定所有这些用户——对于大多数网站来说，这是不可接受的附带损害。你的代理流量融入到真实用户群中，因此每个 IP 的防御难以将你隔离，封锁 IP 的成本远高于数据中心范围。

### 什么是 CGNAT IP 范围？

为运营商级 NAT 保留的共享地址空间是`100.64.0.0/10`，在 RFC 6598 中定义。运营商在用户设备和公共互联网之间使用它。在 traceroute 中发现该范围内的地址是连接位于 CGNAT 后面的强烈指示。

### 5G 是否消除了 CGNAT？

没有。共享地址从来不是 4G 的限制——它的存在是因为连接设备的增长速度远远超过可用 IPv4 地址池。CGNAT 在 4G 和 5G 网络上仍然很常见。更广泛的 IPv6 采用可能会随着时间的推移减少对它的依赖，但目前它在移动上仍然是标准。

CGNAT 是移动代理指挥溢价的隐秘原因：它们继承了共享每个运营商 IP 的数千真实用户的信任。网站不能在不伤害自己用户的情况下封锁该地址，因此大多数情况下不会。当 IP 声誉是你和目标之间的障碍时，这就是移动 IP 带来的优势。

[从 QuantumProxies 移动代理开始](https://quantumproxies.io/mobile-proxies)