Что такое CGNAT оператора — коротко

Откуда берётся проблема с адресами

Каждое устройство в интернете общается с другими через адрес. Классических адресов версии 4 ограниченное количество, и свободных давно не хватает: пользователей и устройств намного больше. Операторы решают проблему так: один внешний адрес выдают не одному абоненту, а сразу многим. Для этого внутри сети оператора стоит оборудование, которое подменяет адреса и ведёт таблицу соответствий. Такая схема называется трансляцией адресов уровня оператора, сокращённо CGNAT.

Проще говоря, вы выходите в интернет под адресом, который одновременно используют десятки или сотни других людей. Сайты видят общий адрес, а не ваш личный.

Как это выглядит со стороны пользователя

Большую часть времени вы не заметите разницы: страницы открываются, видео идёт, сообщения доставляются. Но есть ситуации, где общий адрес даёт о себе знать.

• Невозможно «достучаться» до своего устройства снаружи. Входящие подключения к вам из интернета не проходят, потому что адрес вам не принадлежит.
• Сайты показывают капчу чаще обычного. Они видят много запросов с одного адреса и подозревают автоматизацию.
• Геолокация «гуляет». Адрес привязан к региону оператора, а не к вашему району, и сайт может определить неверный город.
• Некоторые игры и пиринговые сервисы работают хуже. Прямым соединениям между игроками мешает трансляция.
• Один и тот же адрес бывает в списках подозрительных. Если другой абонент с этим адресом занимался спамом, сервис может ограничить всех.

Ничего из этого не говорит о неисправности вашего телефона или тарифа. Это особенность устройства сети.

Как проверить, стоит ли у вас CGNAT

Способ простой и занимает минуту.

1. Откройте любой сервис определения внешнего адреса и запишите, что он показывает, при подключении по мобильной сети.
2. Откройте настройки роутера или модема, если он у вас есть, и найдите «внешний адрес» (WAN).
3. Сравните два адреса. Если они разные, либо в настройках роутера адрес начинается с 100.64 – 100.127 или с 10, 172.16–172.31 или 192.168, значит, между вами и интернетом есть ещё один уровень трансляции.

Для телефона, подключённого только по мобильной сети, CGNAT практически всегда есть: операторы мобильной связи так работают почти везде. Для домашнего интернета ситуация зависит от провайдера и тарифа, нередко «белый» адрес предлагается отдельной услугой.

Что такое «белый» и «серый» адрес

«Белый» адрес принадлежит только вам и доступен из интернета напрямую. «Серый» общий или находится за трансляцией. Для обычного использования серого адреса достаточно, а белый нужен тем, кто хочет открывать доступ к своим устройствам снаружи: камерам, домашним серверам, игровым серверам. Если такая задача есть, спросите у провайдера про услугу выделенного адреса и про условия.

CGNAT и VPN

Влияние бывает двояким. С одной стороны, VPN-соединение устанавливается телефоном наружу, а исходящие подключения через CGNAT проходят нормально, поэтому большинство VPN работает без дополнительных настроек. С другой стороны, оператор видит, что именно вы подключаетесь к определённому серверу, и может ограничивать отдельные направления. Этот сюжет разобран в материале «Почему VPN не работает на мобильном интернете», а общая схема — на странице «Что такое VPN».

Есть и обратная сторона. Выходной адрес VPN-сервера тоже общий, если им пользуются многие клиенты сервиса. Для вас это означает, что сайты могут реагировать на него так же, как на общий адрес оператора. Это нормальное свойство подобных сервисов и повод не удивляться капче.

Влияние на безопасность и приватность

Общий адрес даёт некоторую анонимность на уровне сайта: он не может сразу сказать, какой именно из сотни абонентов к нему пришёл. Но оператор, который ведёт таблицу трансляций, знает ваше соответствие адреса и времени, и по запросу уполномоченных органов эти сведения могут быть предоставлены в рамках закона. Поэтому не стоит считать CGNAT средством приватности. Защиту содержимого и скрытие адресов, к которым вы обращаетесь, обеспечивает шифрование, а не общий адрес. Практические проверки утечек описаны в статье «Как проверить утечки DNS и WebRTC».

Что с этим делать обычному человеку

Чаще всего ничего. Если у вас нет задач с входящими соединениями, общий адрес вам не мешает. Если вы видите частые капчи, попробуйте перезапустить мобильную передачу данных, чтобы получить другой адрес из пула, либо переключиться на Wi-Fi. Если игра или сервис жалуется на «тип NAT», ищите в настройках режим, который это поддерживает, или обращайтесь в поддержку сервиса. А если вам нужен доступ к вашему устройству из внешней сети, подойдёт не открытие портов, а сервисы, которые сами подключаются наружу.

Как это выглядит на практике

Представьте многоквартирный дом с одним почтовым адресом на всех жильцов. Письма приходят на общий ящик, а консьерж раскладывает их по квартирам по записям в журнале. Так работает CGNAT: общий адрес снаружи и учёт соответствий внутри. Пока вы только отправляете письма и получаете ответы, система работает незаметно. Проблемы начинаются, когда кому-то снаружи нужно самому постучаться к конкретной квартире без предварительного письма: консьерж не знает, кому адресовать. Эта картинка объясняет, почему входящие подключения не проходят, а исходящие работают безупречно. Она же показывает, почему при самых обычных занятиях вы не заметите ничего, а при настройке удалённого доступа к домашнему устройству сразу упрётесь в стену. Условия подключения и ограничения для SharkLTE описаны в разделе «Тарифы».

Частые вопросы

Читайте дальше