CGNAT пояснено — чому мобільні проксі мають найкращу репутацію IP

Коли люди порівнюють типи проксі, вони зазвичай говорять про швидкість, ціну та географічне покриття. Що рідко пояснюють добре — це чому мобільні проксі стабільно перевершують датацентрові та резидентські на кожній серйозній платформі.

Відповідь зводиться до одного технічного поняття: CGNAT — Carrier Grade NAT.

Розуміння CGNAT — найкорисніше, що може дізнатися покупець проксі. Це пояснює, чому мобільні IP мають найкращу репутацію, чому їх найважче заблокувати без побічного збитку і чому такі платформи, як Facebook, Google і Amazon, ставляться до них інакше на рівні інфраструктури.

Що таке NAT?

Щоб зрозуміти CGNAT, почнемо зі звичайного NAT (Network Address Translation).

У типовій домашній мережі:

• Ваш роутер має одну публічну IP-адресу, призначену провайдером
• Всі ваші пристрої (телефон, ноутбук, телевізор) використовують цю одну публічну IP
• Коли ви робите запит, роутер перекладає вашу приватну адресу 192.168.x.x у публічний IP перед відправкою в інтернет

Це NAT на домашньому рівні — одна публічна IP-адреса, спільна для невеликого домогосподарства.

Інтернет бачить одну IP-адресу. Насправді за нею може бути 3–8 пристроїв.

Що таке CGNAT?

CGNAT (Carrier Grade NAT, також відомий як Large Scale NAT або CGN) — це той самий принцип, застосований на рівні оператора, але в значно більшому масштабі.

Замість одного домогосподарства, що ділить один IP, при CGNAT:

• Ваш мобільний оператор (Kyivstar, Orange, LMT) має пул публічних IP-адрес
• Тисячі реальних абонентів розділяють кожну публічну IP-адресу
• NAT-інфраструктура оператора перекладає всі ці приватні з'єднання у спільні публічні IP
• З точки зору інтернету всі ці абоненти виглядають так, ніби використовують один IP

Це не трюк із проксі. Це реальна архітектура роботи мобільного інтернету в усьому світі.

Чому мобільні оператори використовують CGNAT?

IPv4-адреси вичерпались. Існує близько 4,3 мільярда можливих IPv4-адрес, а інтернет-пристроїв більше.

Початковим рішенням був IPv6 — значно більший адресний простір. Але впровадження IPv6 відбувається повільно, і величезна частина інтернету досі працює на IPv4. Тим часом операторам потрібен був спосіб підключити мільярди мобільних пристроїв до IPv4-інтернету при набагато меншій кількості адрес, ніж пристроїв.

CGNAT і є цим рішенням:

1. Кожен абонент отримує приватну IP (10.x.x.x або 100.64.x.x — діапазон CGNAT, визначений у RFC 6598)
2. Оператор веде великі NAT-таблиці, що зіставляють сесії абонентів із публічними IP
3. Кілька абонентів розділяють кожну публічну IP, різняться лише маппінгом портів

Одна IP мобільного оператора може представляти від кількох сотень до десятків тисяч реальних користувачів одночасно.

Наслідок для репутації IP

Саме тут покупцям проксі слід звернути увагу.

Коли сайт або платформа оцінює, довіряти чи ні IP-адресі, вона дивиться на:

1. Історичну поведінку — чи використовувалася ця IP для спаму, шахрайства або зловживань?
2. Тип ASN — це датацентр, провайдер або мобільний оператор?
3. Наслідки блокування — якщо ми заблокуємо цю IP, скількох легітимних користувачів це зачепить?

Для IP мобільних операторів під CGNAT математика за пунктом 3 жорстка для сайту:

• Заблокувати датацентровий IP → зачіпає 0 реальних користувачів (тільки боти та користувачі проксі)
• Заблокувати резидентський IP → зачіпає 1–5 домогосподарств
• Заблокувати IP мобільного оператора → потенційно зачіпає тисячі реальних абонентів

Великий e-commerce сайт не може заблокувати 193.x.x.x (мобільний діапазон Kyivstar), не відрізавши тисячі реальних українських мобільних покупців. Соціальна мережа не може заблокувати LTE-діапазон Orange Romania, не відрізавши реальних румунських користувачів, що гортають стрічку в автобусі.

Ця асиметрія фундаментальна. Це не лазівка — це структурна особливість того, як влаштований мобільний інтернет.

Чому сайти не можуть вносити мобільні діапазони до чорних списків

Комерційні бази репутації IP (Maxmind, IPQualityScore, Scamalytics) класифікують IP за категоріями:

• Датацентр / Хостинг
• Резидентський / Широкосмуговий
• Мобільний / Бездротовий

Датацентрові IP агресивно позначаються та блокуються. Весь IPv4-простір AWS, DigitalOcean і Hetzner присутній у кожному великому списку блокувань.

З мобільними IP реальних операторів поводяться інакше. Бази даних позначають їх як мобільні, але у них низький показник шахрайства, тому що:

• Реальні зловживання обмежені — важко запустити ботнет із справжніх SIM-карток
• CGNAT ускладнює атрибуцію — якщо 5 000 користувачів ділять IP, не можна присвоїти репутацію самій IP
• Оператори саморегулюються — Kyivstar, Orange і LMT мають відділи боротьби зі зловживаннями та активно закривають акаунти, що використовуються для спаму

В результаті IP мобільних операторів стабільно зберігають низькі показники шахрайства, навіть при комерційному використанні провайдерами проксі.

Як це працює на практиці

Розглянемо, що відбувається, коли система довіри Facebook оцінює вхід:

Флаг CGNAT — не негативний сигнал. Він говорить платформі: «Цю IP використовують багато реальних мобільних користувачів». Саме це і дозволяє мобільним проксі проходити перевірки довіри.

ASN: ідентифікатор, що важливіший за все

Кожен блок IP-адрес в інтернеті призначений Автономній системі (AS), що ідентифікується за ASN (Autonomous System Number).

Дані ASN публічні. Будь-яка платформа може негайно дізнатися, кому належить будь-який IP:

• AS16509 → Amazon AWS (датацентр)
• AS14061 → DigitalOcean (датацентр)
• AS15895 → Kyivstar (мобільний оператор, Україна)
• AS8708 → Orange Romania (мобільний оператор, Румунія)
• AS12578 → LMT (мобільний оператор, Латвія)

Коли ваш трафік виходить через проксі ProxyGrow:

• IP належить ASN оператора
• Пошук ASN підтверджує його як мобільного оператора
• CGNAT очікуваний і нормальний для цього ASN
• Платформа обробляє його як реальний мобільний трафік

Це фундаментально відрізняється від будь-якого рішення на основі датацентру. Неможливо підробити ASN. IP або належить Kyivstar, або ні.

Мобільні vs резидентські: різниця в репутації

Резидентські проксі продаються як преміальна альтернатива датацентровим. І вони кращі — але в них є проблема.

У резидентських проксі IP мають історію.

Мережі резидентських проксі отримують IP від реальних користувачів, що встановлюють застосунки або розширення браузера. Ці IP використовуються клієнтами проксі-мережі для різних цілей — одні легітимних, інші ні. З часом IP накопичують:

• Історію шахрайства від інших користувачів
• Потрапляння до чорних списків
• Асоціації з патернами ботів

На момент, коли ви отримуєте резидентський IP, він міг вже використовуватися для скрейпінгу, спаму або рекламного шахрайства попереднім користувачем. Ви успадковуєте цю репутацію.

IP мобільних операторів під CGNAT чистіші:

• Модель CGNAT означає, що репутація окремого IP розмита по тисячах реальних користувачів
• Оператори постійно ротують публічні IP серед абонентів (таймаути CGNAT-таблиць)
• Немає «попередніх користувачів» конкретного IP у традиційному сенсі

Що означає інфраструктура CGNAT ProxyGrow для вас

ProxyGrow працює з реальними USB-модемами з справжніми SIM-картками:

• Україна: Kyivstar, Vodafone, Lifecell — великі оператори, CGNAT-LTE/5G
• Румунія: Orange, Vodafone, Digi — оператори ЄС, CGNAT-LTE
• Латвія: LMT, Tele2, Bite — балтійські EU-оператори, CGNAT 4G/LTE

Коли ваш трафік виходить через проксі ProxyGrow, він проходить через реальну CGNAT-інфраструктуру оператора. IP, який ви отримуєте — це той самий клас IP, яким користуються тисячі реальних українських, румунських або латвійських мобільних користувачів.

Ротація IP працює шляхом запуску перепідключення модема, яке змушує CGNAT-систему оператора виділити нову публічну IP з пулу. Це той самий процес, що відбувається, коли телефон реального користувача перепідключається після дзвінка або зміни вишки.

Підсумок

Мобільні проксі — це не просто «покращені резидентські». Вони працюють на принципово іншому мережевому рівні — тому, навколо якого платформи будували свої системи довіри задовго до появи проксі-сервісів. CGNAT — не хак. Це операторська інфраструктура, і мобільні проксі дозволяють використовувати її легітимно.