关于运营商分配假公网 IP 的问题

[Marionic0723]

感谢 @onion83 发的图


这种技术多半是是运营商用来应对那些啥都不知道又跟风申请公网 IP 的小白的，用了这招之后，拨号获取到的 IP 和上网查到的的确是同一个，NAT 类型也会测出最宽松，能骗过绝大多数人，只有需要公网开服务而且正好端口和别人冲突的时候才会发现异常。

那么问题来了，如何分辨这种假公网？多用户在同一端口开放服务后，NAT 设备如何处理流量？

我的想法：
1.分别在低位和高位端口开设服务，然后用跨运营商的网络去访问它，查看访问能否成功，如果有不成功的，除了被运营商封锁（如 25 ，80 ，443 ），剩下的端口就是给别人了，证明公网 IP 是共享的。
2.内网发起路由跟踪，看看到达运营商真正的公网网关前是否出现丢包跳数。手机流量一般就是这样，只不过能看出是内网 IP 。
还有什么想法欢迎各位补充。

[fan88]

这不是欺诈是什么，这不是欺诈是什么？ 国企就可以欺诈了？

[NSAgold]

@wwbfred 说的有道理，这玩意确实会有安全问题

但是另外几位说的也对，这套方案确实对运营商和（应该是）大部分需要公网 ip 的用户而言是个好的解决方案。毕竟现在不少跟风要公网 ip 的人不需要对外开放端口，部分人也只需要开放少量端口。
这些人是 nat4444 完全能满足的，那么省下的公网 ip 就可以给我们这些投诉要真公网 ip 的“特殊用户”了（笑）

问题其实还是多个同端口怎么处理了。
直接在光猫里给个界面，和上级网关联通，自行填开放端口都比现在的广播方案强。
（暴论：运营商直接起个 frp ，每个宽带号给 10 个映射，端口自选先到先得，这安全性都比现在强。）

[fan88]

@xxfye 解决问题的方式有很多种，但这种靠“欺诈”和违法行业常识的方法，并不能认定为牛逼，甚至可以说是无耻。 没钱是问题吗？ 那我这样，我去抢银行呗，我去偷邻居家的呗，我去贪污纳税人的呗？

[acbot]

@NSAgold “... 直接在光猫里给个界面，和上级网关联通，自行填开放端口都比现在的广播方案强。...” 问题就是这个方案自己把自己整别扭了。NAT1 与公网对于大多数用户来说区别也就是 NAT 后端口范围不可控而已，并不是他开放的服务非得要用某个端口，所以其实就在现在 NAT 的基础上稍稍调整一下让 NAT 后端口范围可控，让用户直接在这个端口范围开放服务不就可以了吗？

[realpg]

@Marionic0723 #8
不用疑问了
北京联通 天津联通 辽宁池化 IP 数量够给全省所有家宽一人 10 个还有得剩 搞啥假 IP
南方联通 北方电信这种没有历史沿革的，IP 100 户一个都不太够用还得省吃俭用


前几天看我市联通的家宽 IP 池子里的 IPv4 闲置数量还大幅度增加 而且一直不断增加。。。
因为 辽宁电信移动疯狂扩张 联通宽带贵 大量用户退网

2019 年至 2022 年 沈阳联通的家宽 IP 池剩余可用一直是不断增加不断增加 2022 年增加略微放缓 但还是增加
北京联通天津联通应该也是一样的


很多时候不是不爱给你 只是资源少 给你就别玩了

[xxfye]

@fan88 欺诈你什么了，是宽带协议上写明了要给你独享的公网 IPv4 地址了？那我肯定支持你维权。
但就说这个假公网 IP ，1. 是不是公开的 IPv4 地址？ 2 .能不能从外网访问？
至于外部访问不稳定，家宽也从没做过保证。
本来就算是某种“福利”的东西，不能因为别人没做到符合你心目中的样子，就给自己加戏——啊，别人一定在欺诈我。

[huihuilang]

艹怪不得我的阿狸 ddns 一直获取地址失败，强烈怀疑是假公网。。。不过也无所谓了，100 年外面连不了一次，以后有时间研究下 v6 公网

[Akariiin]

nat4444 没问题，cgnat 也没问题，至少能在 IP 资源紧张的情况下实现有限端口的 fullcone ，但是运营商不明确告知用户可用端口，不做隔离，做了这个技术最不应该拿来做的事情

[paramagnetic]

@xxfye 欺诈行为常见的一个解读是“行为人明知自己的陈述是虚伪的，并会导致对方陷入错误认识，而希望或放纵这种结果的发生”。从题图来看，我认为这个导致用户陷入错误认知的故意是存在的。

[xxfye]

@paramagnetic
运营商有陈述公网 ipv4 是什么吗，承诺过什么东西吗，难道不是用户主动提出的？

[liulongquan]

公网 ip 可遇不可求

[paramagnetic]

@xxfye 没有，于是正确的解答应该是“不知道，我这解决不了，不行你换个 ISP 吧”。或者“我们这有 NAT4444 ，虽然有一些访问稳定性和安全方面的风险，但是能几乎完美解决游戏和视频 NAT 的问题，你要不要试试？”而不是不声不响地让用户对自己享受到的服务的质量和安全性产生误解。

[shikkoku]

🙃运营商能确保我从外部能连接我的主机 /传统监控设备我就不纠结那么多了。

[wuosuper]

@xxfye @Akariiin @fan88 @acbot @NSAgold @Marionic0723
无论如何也无法改变现状，运营商作为完全看中投诉量 kpi 的企业，如果因为这个方案导致运营商投诉量剧增的话，运营商也只会停止使用，就像前段时间投诉不给余量的结果一样，只能是大家都被改为内网没有公网可以用。

跟某运营商建维聊过，其实这个技术相当早了，最早在运营商现网部署的地区到现在已经 5 年多了，到现在已经有数十个省份接近四十个城市都在部署使用，经过现网反馈的各种问题也都已经解决，由于这套业务设计的相当巧妙，楼上提到的问题也都基本解决，当然作为厂商自己的机密也不会提供出具体的方案说明。如果不是这张图的流出，至今不会有人察觉到运营商使用了这项技术，也许你正在使用的公网地址已经就是这种方案改造过的，如果不是有人告诉你，根本不会发现，因为用起来与真正的公网没有明显差异，真公网能做到的共享 IP 95.0%能做到，楼上提到的一些判断方法也只能针对早期版本（图也很老了，不过由于这项技术某厂独有，如果你的 BRAS 不是该厂就无需担心，是 100%真公网）。

因为这套技术是实实在在的为运营商降低了投诉量，很受到运营商的欢迎，某些部门也默许了这种做法，各地纷纷效仿都在采购，而且现网部署后投诉率也很低，可以忽略到不计的程度，所以观望的那些运营商也在采购。

这种技术在按闹分配、用户动不动就投诉的情况下诞生也不奇怪，当然，最差的结果就是投诉直到运营商停用该系统，全都用 NAT444 私网地址，这样就平等了。

[wuosuper]

@acbot #84 直接在光猫里给个界面，和上级网关联通，自行填开放端口。这个方案已有，现网可用，部分地区即使是 100 段 CGNAT 地址，也可以通过光猫路由的模式，在天翼网关那个界面配置端口映射向外开放端口，每个网关限制 20 个端口，内部端口自己定，外部端口动态分配，使用的是 PCP 协议，当然改桥接用路由模式就不能映射了。

[acbot]

@wuosuper "...当然改桥接用路由模式就不能映射了。" 给这些小白普及桥接知识的也不少吧！

[qdmooo]

用远程桌面，ddns 和 nas 试一下不就行了。如果内网也可以通过域名访问家里的 nas 和远程桌面，那公网和内网有什么区别呢。就算是固定 ip 家宽也封 80 的

[wwbfred]

@wuosuper 我都不用管什么机密不机密的，你就告诉我，三个 SSH 开到一个 IP 的 22 上了，你连哪个？我开全端口服务回答所有 SYN 包，你怎么办？其实根本不用问，知道了有这么个玩意，测试一下就知道了。土加密最怕见光，一曝光就死的透透的，这玩意也是一样。你说没有明显差异，完全是因为这个方案足够奇葩，发现问题了也不可能往这上面去想。本质上玩的还是信息差。

[wwbfred]

@wuosuper 关于如何发现是假的公网 IP ，不玩投机取巧，我就玩概率。直接扫我所在的网段的所有端口，开了服务的和没开服务的分成两组。然后反复重播反复扫，只要拨到了有服务的 IP 上，就高度怀疑假公网。测试自己拥有这个公网 IP 时有服务 port(s)的情况，再测试自己释放了该 IP 时有服务 port(s)的情况。写脚本反复测上半个月，概率学上可以获得极高置信的结果。如果再对有服务端口做针对性监听，就可以完全确定是否为假公网了。运营商再怎么投机取巧，别人一步一个脚印走路你是拦不住的。

[wsph123]

沈阳联通也大概率是假的，写了定时脚本有时候重新拨号十次才能在外网连回自家