Definizione
Il Carrier-Grade NAT — chiamato anche large-scale NAT (LSN) o NAT444 — è un’architettura di condivisione di indirizzi IP definita nel documento IETF RFC 6598 (pubblicato ad aprile 2012) che consente a un Internet Service Provider o a un operatore mobile di servire un gran numero di abbonati con un pool di indirizzi IPv4 pubblici molto più piccolo di quanto richiederebbe l’assegnazione di un indirizzo dedicato a ciascuno. L’aggettivo “carrier-grade” distingue questa scala di deployment dal NAT a livello di abitazione fatto da un router domestico: il CGNAT opera sull’infrastruttura dell’operatore e può tradurre il traffico per decine di migliaia di abbonati simultanei attraverso un singolo indirizzo IP pubblico.
Il CGNAT è nato come risposta all’esaurimento dello spazio di indirizzi IPv4. La Internet Assigned Numbers Authority (IANA) ha allocato gli ultimi blocchi IPv4 ai Regional Internet Registries a febbraio 2011. Gli operatori mobili, che vedevano basi di abbonati in rapida crescita, dovevano scegliere se distribuire IPv6 — che risolve in modo permanente l’esaurimento — o implementare il CGNAT per estendere la vita operativa dell’infrastruttura IPv4. La maggior parte ha distribuito entrambi.
Come funziona il CGNAT
In un deployment CGNAT, il dispositivo dell’abbonato riceve un indirizzo IP privato dallo spazio condiviso definito da RFC 6598 — il blocco 100.64.0.0/10 riservato specificamente all’uso CGNAT — o da un range privato convenzionale RFC 1918 (10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16). È l’indirizzo dell’abbonato all’interno della rete interna dell’operatore.
Quando l’abbonato avvia una connessione internet in uscita, il traffico passa per gli apparati CGNAT dell’operatore — di solito grandi piattaforme router di vendor come Cisco, Juniper e A10 Networks. Il dispositivo CGNAT traduce l’indirizzo sorgente privato in uno degli IPv4 pubblici dell’operatore e assegna una porta sorgente dinamica per distinguere la connessione di quell’abbonato dalle altre connessioni che condividono lo stesso IP pubblico. Questa tecnica si chiama port address translation (PAT) o network address port translation (NAPT).
Il server di destinazione — per esempio un sito di concorso — riceve un pacchetto con IP sorgente appartenente all’operatore e una porta sorgente assegnata dal dispositivo CGNAT. Da queste informazioni non può determinare l’indirizzo privato dell’abbonato né la sua identità. Tutti gli abbonati che condividono lo stesso IP di uscita CGNAT sono indistinguibili a livello di IP dal punto di vista della destinazione.
Quando la sessione termina, il dispositivo CGNAT recupera l’assegnazione di porta e può riassegnare la stessa combinazione IP pubblico/porta a un abbonato diverso entro pochi minuti. Questo riuso degli indirizzi significa che due abbonati completamente diversi possono apparire dallo stesso indirizzo IP in momenti differenti dello stesso giorno — o anche della stessa ora.
L’RFC 6264 documenta le implicazioni degli approcci di transizione su larga scala da IPv4 a IPv6, di cui il CGNAT è una componente. La IETF ha pubblicato vari documenti di guida sulle considerazioni operative del CGNAT per i provider.
Dove lo incontri
Il CGNAT è pervasivo nelle reti degli operatori mobili in tutto il mondo. T-Mobile, AT&T, Vodafone, Orange, Jio e praticamente tutti i grandi operatori usano CGNAT per il traffico IPv4 degli abbonati. Anche gli ISP fissi nelle aree con grave scarsità IPv4 — incluse parti dell’Asia-Pacifico e dell’Africa subsahariana — distribuiscono CGNAT sulle connessioni broadband.
Negli ambienti dei concorsi online, il CGNAT crea una tensione fondamentale con la deduplica dei voti basata su IP. Una policy ingenua di un voto per IP applicata a un concorso in cui la maggior parte della partecipazione viene da dispositivi mobile impedirà erroneamente a più votanti legittimi che condividono lo stesso indirizzo CGNAT di esprimere il proprio voto. Al contrario, un attore malevolo su una rete CGNAT potrebbe in teoria inviare voti da molti indirizzi IP privati che appaiono tutti dallo stesso IP pubblico, senza che la piattaforma del concorso possa distinguerli da un singolo votante.
Esempi pratici
Un concorso di voto charity rivolto a un pubblico in India — dove Jio Platforms serve centinaia di milioni di abbonati — osserva che certi indirizzi IP compaiono in migliaia di invii di voto durante il concorso. L’indagine tecnica rivela che si tratta di indirizzi di uscita CGNAT della rete 4G di Jio. Il team antifrode determina che cookie e dati di sessione mostrano istanze di browser distinte dietro ogni invio, coerenti con una partecipazione genuina di più abbonati. Il segnale di clustering IP che normalmente indicherebbe frode è correttamente attribuito al CGNAT e non a manipolazione dei voti.
Una piattaforma di concorsi del Regno Unito riceve un reclamo da un partecipante che sostiene che la piattaforma stia bloccando voti legittimi dei suoi sostenitori. L’indagine rivela che i sostenitori sono tutti sulla rete CGNAT dello stesso operatore mobile, e che il rate limiter ha applicato un cap di voti per IP che colpisce tutti gli abbonati che condividono l’IP di uscita. La piattaforma adatta la logica per usare la deduplica basata su cookie come controllo primario per le sessioni in cui la geolocalizzazione IP indica una rete di operatore mobile.
Un team di ricerca universitario che studia frodi di voto online usa i range RFC 6598 come classificatore nel processo di etichettatura del proprio dataset, separando i voti di origine CGNAT da quelli con IP unico genuino prima di addestrare il modello di rilevamento. La separazione migliora l’accuratezza del modello impedendo che il pattern di clustering CGNAT venga etichettato erroneamente come fraudolento.
Concetti correlati
L’IP di operatore mobile descrive le caratteristiche lato abbonato degli indirizzi IP delle reti mobili, di cui il CGNAT è il meccanismo sottostante di condivisione degli indirizzi. L’IP residenziale comprende sia gli indirizzi fissi sia quelli mobili, ma il CGNAT è una caratteristica distintiva del sottoinsieme mobile. Il rate limiting è il controllo più direttamente influenzato dal CGNAT: i limiti per IP devono tenere conto di ambienti con indirizzo condiviso per evitare di bloccare votanti legittimi.
Limiti e avvertenze
L’ampia diffusione del CGNAT significa che gli indirizzi IP da soli sono una base inaffidabile per la deduplica dei voti in qualsiasi concorso che si rivolga a un pubblico mobile significativo. L’adozione di IPv6 risolve in parte il problema — IPv6 di solito assegna un indirizzo globale unico a ogni dispositivo — ma il CGNAT IPv4 resterà un fattore importante nel traffico dei concorsi finché IPv4 sarà il protocollo dominante per l’accesso internet consumer. Chi progetta piattaforme dovrebbe trattare l’IP come uno tra i diversi segnali di deduplica, non come identificatore definitivo del votante.
