على مدى خمسة عشر عامًا، كانت حماية المواقع تعتمد على افتراض: عنوان IP واحد هو كيان واحد يمكن معاقبته. قام مهندسو Cloudflare بقياس مدى كسر هذا الافتراض، ونشروا الأرقام. الرقم الرئيسي بينهم كان غير متوقع: العناوين التي يقف وراءها مئات الأشخاص الحقيقيين تتعرض لتقييد السرعة ثلاث مرات أكثر من العناوين العادية. دعونا نفهم ما هو CGNAT، ولماذا تعتبر البروكسيات المحمولة أكثر مرونة من غيرها - ولماذا توقف "تأثير الحشد" عن كونه عذرًا.
لماذا لم يعد "حظر IP" حلاً رخيصًا
أي حماية ضد الأتمتة - قائمة الحظر، حد السرعة، كاشف الشذوذ - تستند إلى أن هناك مستجيبًا مفهومًا وراء العنوان. تم حظر العنوان - تم معاقبة المخالف. تكلفة الخطأ في هذه الحالة تعتبر صفرًا: حسنًا، لم يتم السماح لروبوت واحد.
هذه الحسابات صحيحة تمامًا طالما أن هناك مستخدمًا واحدًا فقط وراء العنوان. في حالة عنوان IP الخاص بمركز البيانات، الأمر كذلك: عنوان واحد - كيان مؤجر واحد، والحظر يكلف الموقع صفر. أما في حالة مزود الخدمة المنزلية - أسرة واحدة، أيضًا تقريبًا صفر. ولكن في حالة مشغل الهاتف المحمول، قد يكون وراء عنوان عام واحد منطقة كاملة من المدينة. وهنا يصبح الحظر فجأة عملية مكلفة: مع حظر الروبوت، يتم إيقاف مئات العملاء الحقيقيين الذين لم يرتكبوا أي مخالفة.
هذه اللامساواة في التكلفة - وليس "سحر IP المحمول" - تحدد من يتم حظره بشدة ومن يتم تخفيف العقوبة عليه. ولها اسم تقني محدد.
ما هو CGNAT ولماذا هو شائع بين المشغلين
CGNAT (Carrier-Grade NAT، المعروف أيضًا باسم LSN - Large Scale NAT) هو ترجمة العناوين على مستوى المشغل، وليس على مستوى جهاز التوجيه المنزلي. رسميًا، تم توثيق الأساس في RFC 6598 (أبريل 2012): تم حجز نطاق 100.64.0.0/10 - 4,194,304 عنوانًا، والتي لا يتم توجيهها في الشبكة العالمية ولا ينبغي أن تتجاوز حدود شبكة المزود.
تم صياغة الدافع في نص RFC بوضوح: مساحة العنوان IPv4 قد أوشكت على النفاد، ولكن يجب على المزودين دعم نمو عملاء IPv4 حتى يتم نشر IPv6 بالكامل. تم اختيار كتلة /10 كأصغر حجم يسمح بنشر CGN على مستوى إقليمي، دون الحاجة لبناء محولات متداخلة.
يعاني مشغلو الهاتف المحمول من نقص العناوين بشكل أكبر: عدد المشتركين - بالملايين، وعناوين IPv4 العامة - عشرات الآلاف. لذلك، فإن CGNAT لديهم ليس خيارًا، بل هو القاعدة الافتراضية. عنوان عام واحد يخدم مئات، وفي أوقات الذروة، آلاف الجلسات، وعنوان المشترك ينتقل باستمرار - عند التبديل بين الأبراج، عند إعادة الاتصال بالجسة، عند إدارة النطاق.
ومن هنا تأتي القيمة العملية لجميع البروكسيات المحمولة: أنت لا تحصل على IP "نظيف"، بل تحصل على عنوان لا يمكن للموقع إيقافه دون إلحاق ضرر مصاحب.
ما الذي قاسه Cloudflare بالضبط
في الدراسة "عنوان IP واحد، العديد من المستخدمين: اكتشاف CGNAT لتقليل الآثار الجانبية" (فاسيليس جيوتساس ومروان فاييد، نشرت في 29 أكتوبر 2025، تم تحديثها في 15 يوليو 2026) تتناول Cloudflare مشكلة معاكسة: تعلم كيفية تمييز العناوين خلف الترجمة المشغلين، لتطبيق تدابير أكثر ليونة عليها.
تم جمع المنهجية من عدة مصادر مستقلة:
- Traceroute الموزعة من أكثر من 9000 عقدة من RIPE Atlas - لالتقاط العناوين من 100.64.0.0/10 في الطريق؛
- سجلات WHOIS وPTR - البحث عن علامات
cgnat،cgn،lsnفي الأسماء والوصف؛ - دلائل عامة للموفرين - لجمع عناوين VPN والبروكسي؛
- نموذج XGBoost على إشارات العملاء، سلوك مستوى النقل، حجم الحركة وتنوع الاتجاهات، مع التجميع لكل من IP الفردي والشبكة /24.
حجم مجموعة التدريب: 200,000 عنوان CGNAT، 180,000 عنوان VPN وبروكسي، 900,000 عنوان عادي، تقسيم 70/30، تحقق عبر الصليب عشر مرات. الجودة المعلنة - دقة 0.98، F1 الموزون 0.97، خسارة السجل 0.04، macro-AUC 0.9946.
تفصيل منفصل، يتحدث عنه القليل في الصناعة: نسبة عدد user-agent إلى عدد العناوين أعلى بكثير في أفريقيا مقارنة بالمناطق الأخرى. التوزيع التاريخي للكتل الكبيرة من IPv4 ذهب إلى أمريكا الشمالية وأوروبا قبل عقود - واليوم، يتحول هذا إلى أن مستخدمي المناطق النامية يتعرضون بشكل متكرر للعقوبات الجماعية. تسمي Cloudflare هذا التحيز الاجتماعي والاقتصادي.
الرقم الرئيسي: تقييد السرعة ثلاث مرات أكثر
تظهر النتيجة الرئيسية للدراسة بشكل غير بديهي للجميع الذين اعتادوا على اعتبار IP المحمول "غير قابل للمساس": يواجه المستخدمون خلف CGNAT تقييد السرعة ثلاث مرات أكثر من المستخدمين خارج CGNAT.
لا يوجد تناقض هنا - هناك تقسيم للتدابير حسب التكلفة. الحظر الصارم للعناوين مكلف، لأنه يؤثر على المشتركين الحقيقيين. بينما تقييد السرعة، التحدي وكابتشا - رخيصة وقابلة للعكس. لذلك، لا تقوم الحماية بإيقاف هذا العنوان، بل تخنقه. بالإضافة إلى ذلك، فإن الآلية نفسها تعمل بشكل متكرر لأسباب حسابية: على العنوان العام، يتم جمع حركة المرور من العديد من الأشخاص المستقلين، ويتم الوصول إلى العتبات بشكل أسرع.
الزوج الثاني من الأرقام يوضح لماذا المواقع مستعدة لتحمل هذه العناوين. نسبة الروبوتات على عناوين CGNAT: الوسيط 4.8% مقابل 4.7% للآخرين - أي أنه من حيث الوسيط، لا توجد تقريبًا أي اختلاف. ولكن بالنسبة للمعدل المتوسط، تتغير الصورة: 7% لـ CGNAT مقابل 13.1% لـ غير CGNAT. يمكن قراءة ذلك على النحو التالي: بين العناوين العادية، هناك ذيل طويل تقريبًا بالكامل مؤتمت - نطاق مركز البيانات النموذجي، حيث لا يوجد أشخاص حقيقيون على الإطلاق، وهو ما يرفع المتوسط. خلف الترجمة المشغلين، لا يمكن أن يكون هناك مثل هذا الذيل: هناك دائمًا مشتركين حقيقيين يخففون أي أتمتة.
بالنسبة للممارس، فإن الاستنتاج مباشر: البروكسي المحمول يتم شراؤه ليس من أجل السرعة، ولكن من أجل المرونة. ستحصل على عرض النطاق الترددي لكل عنوان هناك على الأرجح أسوأ مما هو عليه في مركز البيانات - لكن العنوان لا يحترق إلى الأبد بعد الخطأ الأول.
الخبر السيئ: CGNAT والبروكسيات تعلمت التمييز
الاستنتاج المغري "بما أن هناك الكثير من الأشخاص خلف عنوان عام، سأتصرف كعنوان عام" يتعثر بسبب صياغة المشكلة في الدراسة نفسها. لاحظ تكوين العينة: عناوين CGNAT وعناوين VPN/بروكسي هناك - فئتين مختلفتين، وتم تدريب النموذج على تمييزهما، وليس دمجهما في سلة واحدة "الكثير من المستخدمين خلف IP واحد".
تختلف العناوين بناءً على علامات لا يتحكم فيها مستأجر العنوان:
- التوبولوجيا. الترجمة المشغلين مرئية في المسار وفي السجلات الوظيفية - من خلال النطاق 100.64.0.0/10، من خلال PTR وWHOIS.
- تنوع الاتجاهات. المنطقة الحقيقية من المدينة تتواصل مع الآلاف من الخدمات المختلفة؛ العقدة تحت السحب تتواصل مع العشرات، وغالبًا مع واحدة فقط.
- الملف الشخصي للشبكة الفرعية. يظهر التجميع حسب /24 ما إذا كان الكتلة المجاورة تتصرف كعنوان مشترك أو كحوض مؤجر.
- إشارات العملاء. يجب أن يبدو مجموعة الأجهزة خلف العنوان العام كأنها مجموعة سكانية حقيقية، وليس كأنها نفس المجموعة مكررة مائة مرة.
والمثير للدهشة أن هذا ليس حصريًا لـ Cloudflare: مزودو استخبارات IP منذ فترة طويلة يقدمون تقييمًا رقميًا بدلاً من علمية ثنائية "بروكسي أم لا"، والفصل بين "عنوان مشترك" و"حوض مؤجر" موجود بالفعل في ذلك.
ثلاث استنتاجات عملية
- قلل الحمل على العنوان، ولا تزيد من التوازي. نظرًا لأن العنوان العام قريب من عتبة تقييد السرعة، فإن استراتيجية "استخراج أقصى قدر من RPS من IP واحد" ستفشل بسرعة. قم بتمديد المهمة عبر الزمن ووزعها على العناوين، وليس على التدفقات داخل واحدة.
- احفظ الجلسة. مرونة العنوان هي مورد تفقده عند تغيير IP بشكل عدواني: كل عنوان جديد يمر مجددًا عبر اختبار الثقة. بالنسبة للمهام التي تتطلب تفويض وسلة، فإن الجلسة اللزجة تكون دائمًا أكثر فائدة من التدوير - حيث يتم تحديد الحدود، تم تناولها في الدليل حول الجلسات اللزجة.
- احسب عدد الاستجابات الناجحة، وليس العناوين. حوض مركز البيانات أرخص لكل عنوان وعادة ما يكون أغلى بكثير لكل طلب ناجح حيث توجد حماية قوية. من المنطقي مقارنة الأنواع فقط حسب تكلفة النتيجة: العناوين السكنية والمحمولة تعود بالنفع تمامًا حيث لا تصل مراكز البيانات إلى الاستجابة.
أين لا ينقذ "تأثير الحشد" على الإطلاق
من المهم عدم نقل المنطق إلى ما هو أبعد مما يعمل. الحماية من العقوبات الجماعية تعمل فقط على مستوى عنوان الشبكة. بمجرد أن تنتقل المنصة إلى معرفات أخرى، تختفي الميزة:
- حظر الحساب. إذا كانت العملية مرتبطة بحساب، فإن جودة IP لا علاقة لها بالقرار.
- بصمة الجهاز والمتصفح. يتم التحقق من اتساق المجموعة بشكل مستقل عن العنوان - وعادة ما تتفكك قبل أن يعمل فلتر IP.
- ربط الحسابات. تبحث المنصات عن تقاطعات عبر الشبكات الفرعية والتطابقات السلوكية، وليس فقط من خلال العنوان الدقيق.
عامل منفصل في عام 2026 - العرض. خلال شهر، شهد السوق ضغوطًا على مصادر العناوين السكنية: في يوليو، أعلنت LG عن حظر بروكسي-SDK بعد اكتشاف أن حوالي 42% من التطبيقات في متجرها كانت تسحب التلفاز إلى شبكة البروكسي، وفي 3 أغسطس 2026 فرضت Samsung حظرًا على مستوى المنصة على بروكسي-SDK السكنية وبدأت بالفعل في تقييد تسجيل التطبيقات الجديدة ذات هذه الوظيفة. تم وصف الاكتشاف من قبل هاريسون ساند من Mnemonic النرويجية؛ حيث أبلغت بعض التطبيقات عن تثبيتات على مئات الملايين من أجهزة التلفاز. تم تناول تحليل الموجة الأولى بالتفصيل في المادة حول حظر بروكسي-SDK على تلفزيونات LG. مع وجود مصادر أقل للعناوين السكنية - ترتفع الأسعار، ويصبح الفارق بين العنوان الرخيص والعنوان الذي يصل فعلاً إلى الاستجابة أكثر وضوحًا.
الختام
لقد كسر CGNAT أبسط افتراض في حماية الويب - "عنوان واحد يساوي مستجيبًا واحدًا" - وقد اعترفت الحماية بذلك وقامت برقمنته. لكن الاعتراف لم يتحول إلى عفو، بل إلى إعادة هيكلة التدابير: العناوين خلف الترجمة المشغلين نادرًا ما يتم إيقافها إلى الأبد، وتتعرض لتقييدات ثلاث مرات أكثر، وتم نقل اختلافها عن حوض البروكسيات إلى مهمة تصنيف منفصلة.
المعنى العملي لمن يعمل عبر البروكسي بسيط: نوع العنوان لا يحدد "هل ستمر أم لا"، بل بأي ثمن يمكن للموقع إيقافك. قم ببناء العمل وفقًا للتدابير اللينة - وتيرة معتدلة، جلسات طويلة، حساب صادق لتكلفة الطلب الناجح - واختر نوع IP وفقًا لسعر الخطأ، وليس وفقًا لسعر الجيجابايت.
```