電信級NAT

電信級NAT或運營商級NAT（Carrier-grade NAT，縮寫為CGNAT或CGN），也稱大規模NAT（large-scale NAT，縮寫LSN），是運營商為了緩解IPv4地址枯竭問題，向客戶分配私網IPv4地址而非公網地址，並通過自身的中間件完成的網絡地址轉換（NAT）操作。電信級NAT可以讓更多的終端設備共享一個公共地址。

電信級NAT示意圖。

電信級NAT的一種常見應用場景為NAT444。該場景中，客戶到公網的訪問將經歷兩次NAT：源地址由客戶的私有網段先轉換至運營商的私有網段，再轉換至運營商的公網IPv4地址。

另一種電信級NAT的場景是雙棧精簡版（Dual-Stack Lite，也稱DS-Lite），其中運營商的網絡使用IPv6，因此只需要兩個IPv4網段。

共享地址空間

如果運營商使用RFC 1918中的地址作為電信級NAT的地址空間，那麼已經使用RFC 1918空間的客戶設備將存在與之衝突的風險，原因是如果網絡接口的內部地址與外部地址相同，路由和NAT將無法正常工作。

此情況促使一些運營商通過ARIN制定政策，希望為電信級NAT分配新的私有地址空間，但遭到了ARIN的推遲，直到IETF通過了備忘錄RFC 2860，明確了分配IP地址的若干細節問題。

IETF之後發布了RFC 6598，詳述了為電信級NAT部署使用的共享地址空間。ARIN根據此分配的需求將地址空間返還給了IANA。分配的地址塊為100.64.0.0/10，即100.64.0.0到100.127.255.255。

優點

• 最大化利用本已有限的IPv4地址空間。
• 由於客戶的設備不直接存在於公網上，可能在一定程度上有助於保護其免受攻擊。

缺點

電信級NAT遭受到了如下批評：

• 與任何形式的NAT一樣，電信級NAT違背了端到端原則。
• 由於其有狀態的特性，電信級NAT有顯著的安全性、可擴展性和可靠性問題。
• 電信級NAT使執法行動查閱變得更加困難，因為需要保留額外的NAT日誌。
• 在電信級NAT下無法運行網絡託管服務。
• 無法對需要公網IPv4地址的業務（如網絡託管服務）使用電信級NAT，因而其對解決IPv4地址枯竭問題作用有限。

電信級NAT通常會阻止客戶使用端口映射，因為網絡地址轉換（NAT）通常通過將網絡中NAT設備的端口映射到外部接口的其他端口來實現，這樣路由器才能將請求映射到到正確的設備。在電信級NAT網絡中，即使客戶端的路由器已配置端口轉發，運營商處運行電信級NAT的主路由器仍將阻止端口轉發，因此實際的端口將不是客戶配置的端口。為了克服前者的缺點，端口控制協議（PCP）已在RFC 6887中標準化。

此外，在極少數情況下，可能會遇到IP地址封禁問題。以維基百科為例，系統會封禁破壞者的IP地址。如果該IP地址恰巧為某電信級NAT的出口地址，那麼該NAT下的正常用戶將同時被封鎖。

參見

• NAT64

外部連結

• Understanding Carrier Grade NAT （頁面存檔備份，存於網際網路檔案館）
• IETF Internet-Draft: Common requirements for Carrier Grade NAT (CGN)
• CGN :: Observations & Recommendations （頁面存檔備份，存於網際網路檔案館）

• CGN在IPv6演進過程中的關鍵作用 （頁面存檔備份，存於網際網路檔案館），C114(中國通信網)，2013年4月16日（簡體中文）
• 北京電信寬帶部署 CGN 割接的通告 （頁面存檔備份，存於網際網路檔案館），中國電信，2016年12月29日（簡體中文）