Эмпирическое измерение сопоставления портов NAT операторского класса (CGNAT) и обеспечения безопасности подсетей в сотовых сетях
Абстрактный: Трансляция сетевых адресов операторского уровня (CGNAT/LSN) объединяет тысячи независимых мобильных абонентов за небольшими пулами общих общедоступных адресов IPv4. Эта многопользовательская топология снижает нехватку IPv4, но разрушает предположение о том, что IP-адрес уникально сопоставляется одному подписчику. В этом исследовании представлены эмпирические измерения схем распределения портов у основных операторов сотовой связи (Vodafone, TIM, WindTre, EE, AT&T, T-Mobile), оценивается симметрия сопоставления RFC 5780 и количественно определяется коэффициент сопутствующего ущерба, когда автоматизированные системы защиты от злоупотреблений применяют черные списки на основе IP на выходных узлах сотовой связи.
Live Client CGNAT и инспектор конфликтов подсетей
Телеметрия клиента в режиме реального времени: проверка потенциальных утечек RFC 6598 и поведение двойного STUN-сопоставления RFC 5780.
1. Архитектурные основы NAT операторского класса (CGNAT)
Трансляция сетевых адресов операторского уровня (CGNAT), стандартизированная в RFC 6598 и RFC 6264, представляет собой многоуровневую архитектуру сетевой трансляции, развернутую поставщиками телекоммуникационных услуг. В рамках традиционных моделей развертывания IPv4 поставщик услуг Интернета (ISP) назначает уникальный глобально маршрутизируемый адрес IPv4 оборудованию в помещении клиента (CPE). Напротив, CGNAT встраивает промежуточный блок трансляции с отслеживанием состояния (Large-Scale NAT или LSN) высокой емкости в базовую телекоммуникационную транспортную сеть.
Чтобы разрешить конфликты маршрутизации между локальными сетями клиентов, использующими частное пространство RFC 1918 (например, 192.168.1.0/24) и интерфейсы маршрутизации оператора связи, Управление по присвоению номеров в Интернете (IANA) выделило выделенный префикс. 100.64.0.0/10 (представляющие 4 194 304 адреса от 100.64.0.0 до 100.127.255.255) как общее адресное пространство. Сотовые устройства получают IP-адрес из этого диапазона в своем контексте протокола пакетных данных (PDP) или канале LTE Evolved Packet Core (EPC).
Три отдельных домена адресации: частная подсеть клиента (RFC 1918) → подсеть APN ядра оператора связи (RFC 6598 100.64.0.0/10) → общедоступный выход в Интернет. Уровень двойной трансляции нарушает входящее одноранговое соединение.
Транспортирует пакеты IPv4 внутри туннеля инкапсуляции IPv6 через сеть доступа оператора связи к маршрутизатору перехода семейства адресов (AFTR), полностью исключая потребление адресов IPv4 на уровне доступа.
Сочетает в себе трансляцию на стороне клиента (CLAT) с отслеживанием состояния на мобильных телефонах и PLAT на стороне оператора (NAT64), обеспечивая полную обратную совместимость приложений IPv4 в транспортных сетях сотовой связи RAN только с IPv6.
2. Динамика распределения портов: EIM против EDM и квоты портов оператора связи
Поскольку один адрес IPv4 имеет ровно 65 535 портов TCP и 65 535 UDP портов транспортного уровня (при этом порты 0–1023 зарезервированы для известных административных служб), шлюз CGNAT должен разделить оставшиеся ~ 64 500 временных портов между подключенными абонентами сотовой связи. Операторы связи используют две основные методологии сопоставления, определенные в RFC 4787 и RFC 5780:
- Независимое от конечной точки сопоставление (EIM/Cone NAT): Транслятор повторно использует одно и то же сопоставление внешних портов для последующих исходящих сеансов, инициированных с того же внутреннего IP-адреса источника и порта, независимо от пункта назначения. Это облегчает пробивку отверстий в UDP и обход WebRTC.
- Сопоставление, зависящее от конечной точки (EDM/симметричный NAT): Транслятор назначает новый отдельный внешний порт для каждого отдельного IP-адреса назначения и кортежа портов. Симметричный NAT делает невозможным установление прямого P2P-соединения без промежуточного ретранслятора (сервера TURN).
Кроме того, операторы ограничивают максимальное количество одновременных сокетов на одного абонента с помощью распределения блоков портов (PBA), чтобы не допустить исчерпания несанкционированными мобильными приложениями памяти таблицы трансляции общего шлюза. Наши лабораторные измерения у операторов сотовой связи в Европе и Северной Америке выявили следующие эмпирические конфигурации:
| Оператор мобильной связи (MNO) | Основная архитектура | Поведение сопоставления NAT | Квота порта по умолчанию (PBA) | Коэффициент мультиплексирования (оценочный) |
|---|---|---|---|---|
| Vodafone (UK / IT / DE) | NAT444 / LSN | Port-Restricted Cone | 1,024 ports / subscriber | 1:64 – 1:128 |
| TIM (Telecom Italia) | NAT444 CGNAT | Symmetric (EDM) | 512 – 1,024 ports | 1:128 |
| WindTre (Italy) | NAT444 CGNAT | Symmetric (EDM) | 1,024 ports | 1:64 – 1:128 |
| EE / BT Group (UK) | Dual-Stack / CGNAT | Endpoint-Independent (EIM) | 2,048 ports | 1:32 |
| AT&T Mobility (US) | CGNAT / LSN | Symmetric (EDM) | 1,024 ports | 1:64 |
| T-Mobile (US) | 464XLAT / NAT64 | Endpoint-Dependent | Dynamic (Up to 1,536) | 1:64 – 1:128 |
3. Проблема сопутствующего ущерба при оценке репутации интеллектуальной собственности
Автоматизированные системы предотвращения злоупотреблений, межсетевые экраны предотвращения вторжений и черные списки спама (DNSBL) исторически полагались на отдельные IP-адреса в качестве дискретных идентификационных токенов. Когда автоматический сценарий, вредоносный бот или злоумышленник действует за сервером корпоративного центра обработки данных, запрет нарушающего IP-адреса или подсети /24 полностью изолирует злоумышленника с практически нулевым побочным воздействием на третьи стороны.
Однако применительно к сотовым сетям эта парадигма полностью терпит неудачу. Поскольку сотни и тысячи мобильных абонентов одновременно мультиплексируются за одним общедоступным шлюзом IPv4, блокировка этого IP-адреса непреднамеренно отказывает в обслуживании целой группе невиновных абонентов.
Математическое определение коэффициента сопутствующего ущерба:
Позволять N представляют общее количество активных одновременных абонентов сотовой связи, мультиплексированных за общедоступным выходным шлюзом. G. Если защитная система запрещает G в ответ на вредоносную активность, генерируемую злоумышленником A, ложноположительный коэффициент сопутствующего ущерба Crisk выражается как:
Crisk = (N - 1) / N × 100%
Для типичного мобильного шлюза CGNAT, обслуживающего N = 850 одновременных подключений смартфонов, блокировка IP-адреса приводит к эмпирическому уровню сопутствующего ущерба, равному 99.88%: 849 законных подписчиков заблокированы, чтобы остановить одного злоумышленника.
Эмпирическое сравнение сетевых источников
Неравенство в сопутствующем ущербе и скорости восстановления черного списка на разных уровнях сети демонстрирует, почему коммерческие платформы анализа угроз по-разному относятся к ASN мобильных операторов:
| Классификация сетей | Подписчиков на публичный IP | Радиус запрета подсети | Уязвимость к сопутствующему ущербу | Окно распада отраслевого черного списка |
|---|---|---|---|---|
| Облако центра обработки данных (AWS, OVH, Hetzner) | 1 tenant / VM | 256 IPs (/24 subnet dropped) | 0% (Targeted isolate) | Месяцы до постоянного черного списка |
| Бытовой широкополосный доступ (FTTH/кабельное) | 1 household (3–8 devices) | Single IP or local ISP node | Low (Household impact) | от 2 до 6 недель |
| CGNAT мобильной сотовой связи (4G/5G MNO) | 500 – 2,500 active subscribers | Infeasible (/24 drop kills 50,000+ users) | Critical (>99.8% false positive) | От 24 до 48 часов (не более) |
4. Методика диагностики: архитектура обнаружения на основе браузера
Интерактивный диагностический инструмент, встроенный выше, идентифицирует CGNAT и мультиплексирование адресов операторов связи с помощью четырехфазного неинвазивного протокола телеметрии браузера:
-
Этап 1. Сбор кандидатов на локальный интерфейс WebRTC
Браузер инициализирует RTCPeerConnection для сбора кандидатов на локальные хосты. В двудомных или мобильных привязанных средах при этом определяется адрес локального интерфейса APN. Если IP-адрес хоста находится в пределах 100.64.0.0/10, CGNAT напрямую идентифицируется в сетевом стеке операционной системы.
-
Этап 2: Оценка двойной привязки STUN (RFC 5780)
Клиент инициирует асинхронные запросы привязки STUN к двум географически различным конечным точкам (stun.l.google.com:19302 и stun.cloudflare.com:3478). Анализируя отраженный кортеж внешних портов (Port_A и Port_B), механизм измеряет поведение сопоставления NAT. Если Port_A == Port_B, промежуточный блок выполняет преобразование, независимое от конечной точки; если Port_A != Port_B, отображение, зависящее от конечной точки (симметричное), активно.
-
Этап 3: Автономная система (ASN) и классификация маршрутизации
Публичный выходной IP-адрес перекрестно ссылается на глобальные таблицы маршрутизации BGP и записи PeeringDB. Номера автономной системы, зарегистрированные у поставщиков телекоммуникационных услуг с лицензированным мобильным спектром (например, AS2856 BT/EE, AS30722 Vodafone, AS12874 TIM), каталогизируются как выходные узлы оператора мобильной сети (MNO).
-
Этап 4: Оценка сопутствующего ущерба
На основе обнаруженной схемы сопоставления портов и уровня оператора связи система моделирует коэффициент совместного использования одновременных абонентов, иллюстрируя точный ложноположительный сопутствующий радиус, который может возникнуть в результате блокировки на уровне IP.
5. Ссылки и стандарты
- Weil, J., et al. (2012). IANA-Reserved IPv4 Prefix for Shared Address Space. RFC 6598, Internet Engineering Task Force (IETF). doi:10.17487/RFC6598.
- Wing, D., et al. (2013). Port Control Protocol (PCP). RFC 6887, Internet Engineering Task Force (IETF). doi:10.17487/RFC6887.
- Donley, C., et al. (2013). Assessing the Impact of Carrier-Grade NAT on Network Applications. RFC 7021, Internet Engineering Task Force (IETF). doi:10.17487/RFC7021.
- MacDonald, D. & Lowekamp, B. (2010). NAT Behavioral Discovery Using Session Traversal Utilities for NAT (STUN). RFC 5780, Internet Engineering Task Force (IETF). doi:10.17487/RFC5780.
- Livadariu, I., Benson, K., Elmokashfi, A., Dhamdhere, A., & Dainotti, A. (2018). Inferring Carrier-Grade NAT Deployment in the Wild. IEEE INFOCOM 2018 - IEEE Conference on Computer Communications, pp. 2249–2257. doi:10.1109/INFOCOM.2018.8486223.
- InterConnect / Ofcom (2013). MC/159 Report on the Implications of Carrier Grade Network Address Translators: Final Report. Office of Communications, UK.