部落格 / IP 與隱私

CGNAT 會影響 IP 信譽嗎：共享出口的原理、影響與自查方法

2026-10-20cdnping 編輯部約 7 分鐘讀完

會有影響，但影響的方式和多數人想的不一樣。CGNAT（運營商級 NAT）讓許多使用者共用同一個公網出口，網站看到的是“這個地址”的行為總和，所以一個鄰居的濫用記錄可能讓你也多做幾次驗證；另一方面，不少信譽和風控系統知道移動和 CGNAT 地址是共享的，往往會降低這類地址的權重。下面先講 CGNAT 怎麼工作，再講它對信譽評估的具體影響，最後給出判斷自己是否在 CGNAT 後面的步驟。

本文用於理解和自查自己的網路環境，例如排查“為什麼換到手機熱點後頻繁彈驗證碼”。不討論、也不建議任何繞過平臺風控或地區限制的做法，使用各類服務請遵守其服務條款和當地法規。

#CGNAT 是什麼，為什麼運營商要這麼做

IPv4 地址只有約 43 億個，早已分配殆盡。運營商的使用者數遠多於手裡的公網 IPv4 地址，於是在自己的網路裡再做一層地址轉換：使用者裝置拿到的是運營商內部地址，流量出網時才被換成少量共享的公網地址，用埠號區分不同使用者的連線。這就是 CGNAT（Carrier-Grade NAT），也常被叫作 LSN（Large Scale NAT）或 NAT444。

家裡的路由器本身就做一次 NAT，把手機、電腦的 192.168.x.x 地址換成路由器的 WAN 地址。CGNAT 後面的家寬，相當於在路由器之後又多了一層：

手機/電腦 192.168.1.x
   → 家用路由器 WAN 口 100.64.x.x（運營商內部地址）
   → 運營商 CGNAT 裝置
   → 公網出口 IP（與其他使用者共享）
   → 網站

為了不和使用者家裡的私網地址衝突，IETF 在 RFC 6598 裡專門劃出了 100.64.0.0/10（100.64.0.0 到 100.127.255.255）作為運營商共享地址段。路由器 WAN 口拿到這個段裡的地址，基本就可以確定在 CGNAT 後面。不過也有運營商在內部用 10.x 等私網段，所以“不是 100.64 開頭”不代表一定有公網 IP。

#為什麼手機流量幾乎都在 CGNAT 後面

行動網路使用者量大、裝置頻繁上下線和切換基站，給每臺手機分一個固定公網 IPv4 地址既不現實也沒必要。所以蜂窩網路的 IPv4 流量通常經過運營商的大規模 NAT 出口，同一時刻一個出口地址後面可能有很多使用者，而且你下一次聯網拿到的出口也可能換了。

這也是很多 IP 檢測把“移動”單獨列為一類的原因。cdnping 的 IP 與環境檢測 把 IP 型別分為機房、家寬、移動、Tor 四類，蜂窩網路的出口通常會被歸入“移動”這一類，和家寬、機房分開看待。機房和家寬怎麼區分，可以看機房 IP 和家寬 IP 有什麼區別。

#共享出口會怎樣影響 IP 信譽

IP 信譽是按地址（或網段）記賬的。一個地址被很多人共用，賬就記在大家頭上。具體影響可以分成三類。

#連帶影響：別人的記錄算在同一個地址上

信譽來源大致有兩種：一種是濫用報告和黑名單，比如垃圾郵件、論壇垃圾註冊、掃描行為被舉報後，地址會進入 StopForumSpam 或 DNS 黑名單；另一種是商業情報庫根據流量特徵給地址打的風險分。共享出口後面只要有一臺裝置中了木馬在發垃圾郵件或掃埠，被記下的就是那個公網地址，同出口的其他使用者查自己的 IP 時也會看到命中。

這類命中和你本人的行為無關。看到時先確認命中的是哪一類來源，再決定要不要在意。14 個信譽來源各自代表什麼、權重多少，可以參考 IP 純淨度怎麼算；不同網站結果為什麼經常不一致，見為什麼不同網站測出的 IP 純淨度不一樣。

#頻率限制：大家共享同一個配額

很多網站和 API 按 IP 做限流，例如“每個 IP 每分鐘最多 N 次請求”。CGNAT 後面的使用者共享這個額度，在高峰時段更容易遇到 429、驗證碼或“請求過於頻繁”的提示，哪怕你自己只點了幾下。這種情況和信譽分沒有直接關係，過一段時間通常就恢復。

#共享地址常被降權處理

反過來，移動和 CGNAT 地址後面是大量真實使用者，如果因為一個移動出口有濫用記錄就整段封禁，誤傷會很大。所以一些風控系統的做法是：對這類地址降低 IP 維度的權重，更多依賴賬號歷史、裝置、行為等其他訊號。結果就是，同樣一條黑名單命中，落在機房 IP 上可能直接導致攔截，落在移動出口上可能只是多一次驗證。

哪些因素會抬高或壓低風險分，IP 風險值受哪些因素影響裡有更完整的拆解。

#影響對照表

關於最後一行：運營商的 CGNAT 出口通常部署在少數匯聚節點，地理庫只能按出口地址定位，所以手機網路被定位到別的城市並不少見。cdnping 的 IP 與環境檢測 用 11 個地理庫投票並給出置信度，如果各庫給出的城市分歧較大、置信度偏低，可以把它當作出口不在本地的一個線索。

#怎麼判斷自己是否在 CGNAT 後面

核心思路只有一個：比較“你的裝置或路由器認為自己的地址”和“網站看到的地址”。兩者一致，說明有獨立公網 IP；不一致，中間就有一層或多層 NAT。

#家寬：四步檢查

第 1 步：看網站看到的出口 IP。 開啟 cdnping /ip，記下出口 IPv4 地址；也可以用命令列：

curl -4 https://cloudflare.com/cdn-cgi/trace | grep ip=

第 2 步：看路由器 WAN 口地址。 登入路由器管理頁，找“WAN 狀態”或“上網狀態”裡的 IPv4 地址。如果是光貓撥號（光貓做路由），就看光貓的狀態頁。

第 3 步：對比。

第 4 步：用 traceroute 看前幾跳。 如果第 3 步分不清是光貓還是運營商做的 NAT，看前幾跳的地址：

# macOS / Linux
traceroute -n -m 6 1.1.1.1
# Windows
tracert -d -h 6 1.1.1.1

第 1 跳通常是你的路由器（192.168.x.x），如果在第 2、3 跳看到 100.64.x.x 之類的地址，說明運營商網路內部在用共享地址段，很可能存在 CGNAT。

#手機網路：直接看 IP 型別

手機上沒法看“WAN 口”，但可以：

1. 關掉 Wi-Fi，只用蜂窩資料開啟 cdnping /ip，看 IP 型別是否為“移動”。
2. 在系統設定裡檢視蜂窩網路分到的 IPv4 地址（部分安卓機型在“關於手機 → 狀態資訊”裡能看到）。如果是 100.64 或 10.x 開頭，而網站看到的是另一個公網地址，就是 CGNAT。
3. 隔一段時間或開關飛航模式後再測，出口地址變化很常見。

#別忘了 IPv6

很多運營商對 IPv4 做 CGNAT，同時給使用者分配全域性 IPv6 地址。IPv6 地址足夠多，一般不需要共享，所以你可能 IPv4 在 CGNAT 後、IPv6 卻是獨立地址。網站優先走哪個協議，會直接決定它看到的是共享出口還是獨立地址。cdnping /ip 會同時顯示 IPv4 和 IPv6 出口；兩者不一致帶來的問題，見 IPv6 代理不生效：雙棧網路下 IPv4 與 IPv6 出口不一致。

#查到出口有信譽命中，該怎麼處理

先區分場景，再決定要不要處理：

• 只是瀏覽和日常使用，偶爾多一次驗證碼：一般不用處理。共享出口的命中多半來自同出口的其他使用者，過一段時間地址或記錄都會變化。
• 家寬需要跑服務、做埠對映：可以聯絡運營商詢問能否分配公網 IPv4，部分地區的運營商提供這項服務，具體以當地運營商答覆為準。另一個辦法是優先使用 IPv6。
• 伺服器或開發環境需要穩定出口：共享出口本來就不適合做白名單和信譽依賴，應使用自己能控制的固定地址，例如雲伺服器的彈性 IP。
• 被某個服務持續攔截：走該服務官方的申訴或客服渠道，說明你的網路是運營商共享出口。這比反覆換地址更可靠，也不會觸碰服務條款。

自查時可以一次看全：出口 IP、IP 型別、信譽命中、DNS 和 WebRTC 是否洩漏、IPv4/IPv6 是否一致。完整清單見開發者網路自檢清單（2026 版），原生 IP 和廣播 IP 的概念見原生 IP 與廣播 IP。

#幾個常見誤解

• “CGNAT 的 IP 一定不乾淨。”不一定。共享出口更容易出現零星命中，但不少信譽系統會對它們降權，日常遇到的影響多半是驗證碼和限流。
• “查到黑名單命中就說明我被盯上了。”共享出口上的命中，大機率是同地址其他使用者留下的。先看命中的是哪類來源，郵件類 DNS 黑名單對網頁訪問的影響通常很小。
• “換成 CGNAT 後面的地址更安全。”CGNAT 只是讓多人共用出口，並不加密、也不隱藏你的裝置特徵。網站仍然能看到瀏覽器指紋、時區語言等資訊，這些訊號各自暴露什麼，見瀏覽器指紋與環境檢測。
• “IP 不一致就是 CGNAT。”也可能是代理、分流或 IPv4/IPv6 走了不同出口。先按上面的對照表排除這些情況。