路由器后台的 WAN 口地址显示为 100.72.x.x，打开 IP 查询网站看到的却是另一个地址。遇到这种情况，路由器通常没有坏，也不代表网络被别人接管。更常见的原因是宽带位于运营商级 NAT，也就是 CGNAT 后面。
100.64.0.0/10 是专门划给运营商共享地址空间使用的 IPv4 网段，完整范围为 100.64.0.0 至 100.127.255.255。它不会像普通公网 IPv4 那样直接在互联网中作为用户独立入口使用。运营商可以先给大量家庭宽带分配 100.64/10 地址，再通过上级网关把多位用户转换到少量公网 IPv4 上。
100.64、192.168和公网IP有什么区别
| 地址类型 | 常见范围 | 主要用途 | 公网能否直接访问 |
|---|---|---|---|
| 家庭私网地址 | 192.168.0.0/16、10.0.0.0/8、172.16.0.0/12 | 家庭、公司内部网络 | 不能 |
| 运营商共享地址 | 100.64.0.0/10 | 运营商CGNAT内部 | 通常不能 |
| 公网IPv4 | 排除私网、共享及其他特殊用途后的可路由地址 | 互联网通信入口与出口 | 需配合防火墙和服务配置 |
192.168 地址一般由家里的路由器分配给手机、电脑和电视；100.64/10 地址更常出现在路由器 WAN 侧，是运营商内部继续转发时使用的地址。网页显示的则是目标网站真正看到的公网出口。
三步判断自己是否在CGNAT后面
- 记录路由器WAN口IPv4。登录路由器后台，在上网状态、Internet 状态或 WAN 信息中找到地址。不要记录 LAN 口的 192.168 地址。
- 查询当前公网出口。在同一条宽带下打开IP138查询入口或其他 IP 查询工具，记录完整 IPv4。
- 比较两者。如果 WAN 地址位于 100.64/10，而网页显示另一个公网地址，这是 CGNAT 的强烈特征。如果 WAN 是 192.168 或 10 开头，还要检查上级光猫是否处于路由模式。
还可以查看光猫和路由器之间的拓扑。若光猫负责拨号，路由器 WAN 获得 192.168 地址，这属于家庭内部的双重 NAT；把光猫改为桥接后，路由器会直接拨号。但如果桥接后仍拿到 100.64/10，说明 NAT 位于运营商网络，家庭设置无法自行消除。
CGNAT会影响哪些使用场景
浏览网页、看视频和使用大多数 App 都是从内向外主动建立连接，CGNAT 通常不会造成明显影响。问题主要出现在需要从公网主动访问家中设备的场景：
- 路由器端口映射配置正确，公网仍无法连接；
- NAS、远程桌面、自建网站或家庭监控无法直接入站；
- 部分 P2P、主机游戏和联机应用的 NAT 类型较严格；
- 多个用户共享公网 IPv4，IP 信誉和访问限额可能相互影响；
- 第三方系统按公网 IP 白名单授权时，出口可能不够稳定或不够独享。
端口映射只控制自家路由器的一层转换。CGNAT 的上级映射由运营商管理，用户无法在家庭路由器中添加对应规则。
需要远程访问时怎么办
确有合法远程访问需求时，优先询问宽带运营商是否提供公网 IPv4、企业专线或其他正式产品。不同地区和套餐政策不同，不应把某地经验当成全国统一规则。
如果宽带具备 IPv6，也可以评估通过 IPv6访问自有设备。IPv6通常不依赖IPv4 NAT，但这不意味着可以直接裸露服务。必须配置路由器与设备防火墙、强认证、更新补丁，并只开放实际需要的端口。另一类做法是采用具备身份认证、访问控制和审计能力的远程接入方案，由终端主动建立受控连接。
排查时不要只截一张IP图
一份能复核的记录至少包括：测试时间、宽带运营商、光猫工作模式、路由器 WAN IPv4、网页公网 IPv4、是否存在 IPv6，以及重拨前后的变化。若要向运营商咨询，把这些信息整理清楚，比只说“我不是公网IP”更容易得到有效答复。
需要继续检查公网出口、ASN和IPv6时，可从极跃圈网址导航选择对应工具。最终判断应以路由器状态、运营商确认和可复现测试为准。
