结论先说:CGNAT 是运营商让多名用户共享少量公网 IPv4 地址的技术。它通常不影响浏览网页、看视频和普通下载,但会让家庭路由器之外再多一层 NAT。结果是,你无法只靠自己路由器的端口转发接收入站连接,某些点对点联机、远程访问和家庭服务器也可能受限。
判断时不要只看“IP 定位在哪”。最有效的方法是对比路由器 WAN 地址与网站看到的出口地址,再检查 WAN 地址是否落在 100.64.0.0/10 或其他非公网范围。两者不同不一定就是故障,而是说明连接路径中还有地址转换。
家庭路由器的 NAT 会让手机、电脑和电视共享一条宽带的公网 IPv4。CGNAT 又把同样的思路放到运营商网络:多个家庭的连接先经过各自路由器,再由运营商设备映射到一个或一组公网地址。这种结构也常被称为 NAT444 或双重 NAT。
RFC 6598 为运营商共享地址分配了 100.64.0.0/10,即从 100.64.0.0 到 100.127.255.255。这段地址和 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 一样不能在公网直接路由,但用途不同:前三段主要供组织或家庭私网使用,100.64.0.0/10 专门面向服务商共享地址场景。
CGNAT 的核心目的不是“隐藏用户”,而是在 IPv4 地址不足、IPv6 尚未完全覆盖时继续提供 IPv4 连接。公网看到的只是共享出口地址和端口;运营商还需要结合时间、协议与端口映射日志,才能区分同一公网 IP 后的不同连接。因此,一次 IP 查询 显示的是出口网络信息,不能证明某个公网 IP 只属于一户用户。
第一步,登录路由器管理页,记录“WAN IP”“互联网 IP”或“上网地址”。不要记录 Wi-Fi 设备自身的 192.168.x.x,那只是局域网地址。
第二步,打开本站首页查看当前公网 IP,或用其他可信的 IP 查询服务复核。如果路由器 WAN 地址与网站显示的 IPv4 完全一致,通常没有运营商级 IPv4 NAT;如果不同,路径中可能还有上级路由或 CGNAT。
第三步,判断 WAN 地址属于哪类范围:
100.64.0.0 至 100.127.255.255:典型的运营商共享地址。10.x.x.x、172.16.x.x 至 172.31.x.x、192.168.x.x:私网地址,可能来自光猫路由、上级路由或运营商 NAT。还要排除“光猫路由 + 自有路由器”造成的家庭内部双重 NAT。若自有路由器拿到 192.168.x.x,但光猫 WAN 地址与网站出口一致,问题在家庭网络层级,并不等于 CGNAT。可用 Whois 查询 查看出口 IP 的运营商与 ASN,但 Whois 只能说明地址资源归属,不能显示某一时刻的用户映射关系。
普通网页、流媒体、即时通信和由内向外建立的连接通常可正常工作,因为 NAT 会在设备发起连接时创建临时映射。真正容易受影响的是“公网设备主动连回家里”的场景,例如自建网站、NAS 远程直连、监控回看、部分游戏主机联机或需要固定入站端口的应用。
原因很直接:你能控制家庭路由器的端口转发,却不能控制运营商 CGNAT 上的共享映射。RFC 6886 对 NAT 映射的说明指出,没有匹配映射的入站数据通常会被丢弃。RFC 7021 的测试 也记录了双层 NAT 对家庭内 FTP 服务及部分点对点应用的影响。不过这些测试来自特定设备和较早应用版本,不能据此断言所有游戏或传输都会失败。
CGNAT 也不等于“网速一定慢”。延迟和速度还取决于线路拥塞、路由、设备容量、Wi-Fi 与目标服务器。遇到问题时可先在 多节点 Ping 工具 比较不同地区的延迟和丢包;若只有入站连接失败、日常访问正常,才更像 NAT 层级或端口可达性问题。
先按实际需求处理,不要为了看到“公网 IP”就盲目改网络。只浏览、办公或看视频,CGNAT 通常无需处理。需要从公网主动访问家中设备时,应向运营商询问是否提供动态或固定公网 IPv4、是否收费,以及线路是否支持 IPv6。描述需求比只说“端口打不开”更容易得到准确答复。
如果两端都具备原生 IPv6,可以优先评估 IPv6 连接,但仍需正确配置主机认证和防火墙。IPv6 不依赖传统 IPv4 端口转发,也不代表设备会自动安全地暴露在公网。需要远程访问时,优先使用设备厂商提供的认证服务、受控 VPN 或零信任访问方案,并启用多因素认证和及时更新。
最后记住三个边界:共享公网 IP 不代表共享局域网;CGNAT 本身不是封号或风控结论;IP 查询也无法识别同一出口后的具体家庭。它只是 IPv4 延寿方案带来的网络结构变化。先确认地址层级,再根据入站连接、IPv6和安全需求选择方案,比反复改路由器设置更有效。