什么是CGNAT？为什么我的宽带没有独立公网IP？
CGNAT（运营商级 NAT）是运营商让多个家庭共享同一个公网 IPv4 出口的技术——你家路由器 WAN 口拿到的地址其实还是私有段，真正的公网 IP 在运营商机房里，由很多用户共用。这就是为什么你的宽带"能上网"，却没有一个独立的、可以从外部直接访问的公网 IP。对比路由器 WAN 口地址和 ipkk.com 首页 显示的公网 IP，一分钟就能确认。
为什么运营商要用CGNAT？
一句话原因：IPv4 地址不够分了。全球 IPv4 地址总量约 42.9 亿个，早已分配殆尽，而仅美国就持有其中约 14-16 亿个——地址分布极不均衡，很多地区的运营商手里的公网 IPv4 远少于宽带用户数。给每户都分一个独立公网 IP 在数学上就不成立，于是运营商在机房部署一层大型 NAT 设备：给用户下发私有段地址，成百上千个家庭的流量在机房汇聚后，共用少量公网 IPv4 出口，这就是 CGNAT（Carrier-Grade NAT，运营商级 NAT）。它和你家路由器做的 NAT 原理相同，只是规模大得多、且不在你的控制范围内。长期方案是 IPv6——地址空间近乎无限，每台设备都能有全球唯一地址，但过渡期内 CGNAT 仍会长期存在。
怎么判断我是不是在CGNAT后面？
判断方法一句话：看路由器 WAN 口 IP 是不是私有段，再和 ipkk.com 首页 显示的公网 IP 对比——两者不一致，就说明你在 CGNAT 后面。具体两步：第一步，登录路由器管理页面，找到"WAN 口状态"或"上网信息"里的 IP 地址；第二步，浏览器打开 ipkk.com 首页（或在终端执行 curl ipkk.com，会直接返回 ip/country/region/city/timezone 纯文本），看外部世界眼中你的公网 IP。对照下表得出结论：
| 路由器 WAN 口 IP 形态 | 结论 | 说明 |
|---|---|---|
| 100.64.x.x ～ 100.127.x.x（100.64.0.0/10） | 确定在 CGNAT 后 | 这个网段是专门保留给运营商级 NAT 使用的共享地址空间，出现它就是明确信号 |
| 10.x.x.x / 172.16-31.x.x / 192.168.x.x | 上级还有一层 NAT，大概率是 CGNAT | WAN 口拿到的是私有地址，说明运营商在你之上又做了一层地址转换 |
| 与 ipkk.com 首页显示一致的公网地址 | 有真公网 IP | WAN 口地址就是外部看到的地址，端口映射、远程访问都能正常做 |
| 与 ipkk.com 首页显示不一致的公网形态地址 | 中间仍有 NAT | 少数运营商会下发非私有段但仍被转换的地址，以首页显示的出口 IP 为准 |
| 127.x.x.x 或 169.254.x.x | 网络配置异常 | 回环/链路本地地址不该出现在 WAN 口，通常是拨号失败或线路故障，与 CGNAT 无关 |
CGNAT对我有什么影响？
核心影响一句话：别人主动连不进你家，而且你的公网出口是和陌生人共用的。具体分四类：
- 端口映射失效：你在自家路由器上做的端口转发只到 WAN 口为止，运营商机房那层 NAT 不会替你放行，外部请求根本到不了你家。
- 远程访问困难：NAS、家庭监控、自建服务这类需要"从外面连回家"的场景都会受阻，只能借助中转方案。
- NAT 类型偏严格：双层 NAT 叠加通常让 NAT 类型落在较严格的档位，联机游戏匹配、P2P 传输体验变差。可以用 WebRTC 泄露检测 的结果卡片查看 NAT 类型推断。
- IP 信誉被连带：同一个公网出口背后是很多用户，其中有人滥用（刷量、群发垃圾请求），整个出口 IP 的信誉都会受影响。这也是本站的产品立场：单凭一个 IP 断定"质量/纯净度"并不可靠——IP 并非固定对应某个用户，负责任的做法是综合当前真实环境评估。ipkk.com 首页 的封号风险系数（0-100，越高越危险）也是只针对你当前访问环境做定性判断。
在CGNAT后面怎么办？
结论先说：日常上网不用管它，只有需要外部访问时才需要动手，三条路按成本从低到高排。第一，向运营商申请公网 IP：不少运营商对家宽用户提供公网 IP（多为动态），拨打客服电话说明用途（如家庭监控远程查看）即可申请，部分地区免费，具体政策以运营商为准。第二，用 IPv6：如果运营商已下发 IPv6 且你的路由器、终端都支持，每台设备天然拥有全球可达地址，远程访问可以完全绕开 IPv4 的 CGNAT，只需在路由器防火墙上放行对应端口。第三，内网穿透：通过一台有公网地址的中转服务器建立隧道（常见思路是反向代理或点对点组网工具），把外部请求转发进家里——具体工具的配置细节随版本变化，以各自官方文档为准。
常见问答
CGNAT影响上网速度吗？
正常浏览基本无感。刷网页、看视频、聊天这类"你主动连出去"的流量，CGNAT 的转发开销可以忽略；真正受影响的是回连类场景——外部主动连你（远程访问、P2P 直连、游戏主机联机），这些依赖入站连接的功能才会变慢或失败。
100.64开头的IP是内网IP吗？
它是专门保留给运营商级 NAT 的共享地址段（100.64.0.0/10），既不是传统私有段，也不是公网地址。看到路由器 WAN 口是这个段，几乎可以断定你在 CGNAT 后面。它与 192.168、10.x 等私有段的区别在于用途：私有段给局域网内部用，100.64.0.0/10 专给运营商与用户之间这一段用。
CGNAT会让封号风险系数变高吗？
不会因为"在 CGNAT 后"这件事本身加压，但共享出口的连带效应存在。风险系数评估的是 IP 类型、是否原生 IP、WebRTC 泄露、时区一致性、DNS 出口等定性因子；家庭宽带即使走 CGNAT，通常也比机房 IP 风险低。不过社区普遍经验是：共享出口上如果有其他用户滥用，同一 IP 上的正常用户在部分平台上可能被连带更严格地审视。在 ipkk.com 首页 查一下当前环境的风险系数即可心中有数。
重启路由器能摆脱CGNAT吗？
不能。重启只会让运营商重新分配一个地址，但分配逻辑没变——你拿到的大概率还是同一个共享地址池里的私有段地址。想要独立公网 IP，只能走申请公网 IP、启用 IPv6 或内网穿透这几条路。
手机流量也是CGNAT吗？
绝大多数是。移动网络的用户密度远高于家宽，运营商几乎都对蜂窝数据使用运营商级 NAT，大量手机共用少数公网出口。这也是手机热点下做端口映射、搭建对外服务基本行不通的原因。
真实使用场景
一位在家里搭了 NAS 的读者反馈：在路由器上按教程做好了端口转发，出门后却怎么也连不上家里的设备。他登录路由器一看，WAN 口 IP 是 100.68 开头——正是 100.64.0.0/10 这个 CGNAT 保留段；再打开 ipkk.com 首页，显示的公网 IP 和 WAN 口完全对不上，确认了自己在运营商级 NAT 后面，端口转发只到自家路由器就断了。他给运营商客服打电话说明家庭监控远程查看的需求，两天后被切换到动态公网 IP。重新对比，WAN 口地址和首页显示的 IP 终于一致，端口映射随即生效，外网访问 NAS 恢复正常。