CGNAT 的工作原理
ISP 会为路由器或设备分配私有地址，或分配共享的 100.64.0.0/10 网段地址。流量进入公网前，运营商的 NAT 网关会转换该地址。
设备 → 家庭路由器 → 运营商 NAT 网关 → 互联网每次建立出站连接时，网关都会记录内部地址和端口与公网地址和端口之间的映射，并通过该映射把响应数据包发回对应的客户。因此，众多客户可以共享一个公网 IPv4 地址，而各自的连接不会混淆。
CGNAT 与家庭 NAT 的区别
两者都会改写地址，但工作层级不同。
| 家庭 NAT | CGNAT | |
|---|---|---|
| 运营方 | 用户或所在组织 | ISP 或移动运营商 |
| 共享范围 | 同一本地网络中的设备 | 众多客户的连接 |
| 端口控制 | 路由器设置 | 用户通常无法控制 |
| 主要用途 | 让私有网络接入公网 | 节省公网 IPv4 地址 |
同时使用两者会形成两层地址转换，通常称为双重 NAT。
CGNAT 会带来哪些变化
- 入站连接： 路由器的端口转发通常无法穿过运营商网关，因而会影响自行托管的服务器、摄像头和部分点对点应用。
- 共享 IP 信誉： 其他用户也使用同一个公网地址。他们的活动可能导致该 IP 被封禁，或触发网站限速。
- 连接记录： 仅凭公网 IP 可能无法确定具体订阅用户。ISP 通常还需要公网源端口和时间戳，才能把连接对应到具体客户。
- IPv6 流量： 原生 IPv6 不需要共享 IPv4 地址，但防火墙规则仍可能限制入站连接。
CGNAT 不能替代防火墙。其有状态映射通常能拦截未经请求的入站流量，但安全性仍取决于设备、路由器和 ISP 的配置。
CGNAT 与代理
不使用代理时，网站看到的是运营商网关共享的公网地址。使用正向代理后，网站看到的则是代理的出口地址。设备与代理之间的出站连接仍由 CGNAT 网关处理。
CGNAT 不提供地区选择或 IP 轮换等代理功能。代理也不能让用户控制运营商网关，或使用本地端口转发。
常见问题
如何判断自己是否使用了 CGNAT？
将路由器的 WAN 地址与外部 IP 查询服务显示的公网 IP 进行比较。如果 WAN 地址位于 100.64.0.0/10 或私有网段，并且与公网 IP 不同，则很可能存在上游 NAT，但只有 ISP 能确认是否使用了 CGNAT。
CGNAT 下能做端口转发吗？
通常无法仅靠自己的路由器完成。可以向 ISP 申请公网 IPv4 地址或其支持的端口映射选项；如果通信两端都支持 IPv6，也可以使用 IPv6。
CGNAT 会影响网络游戏吗？
可能会。大多数出站游戏连接可以正常工作，但点对点联机建房和语音功能可能受影响，游戏主机也可能显示“严格 NAT”，因为未经请求的入站连接无法到达设备。