NAT穿透如何实现

NAT 穿透（NAT Traversal）的核心目标是：让位于不同 NAT 后面的设备，能够直接建立点对点（P2P）连接，而不是所有数据都经过服务器中转。

下面从原理 → 常见方案 → 典型流程 → 关键点系统说明。

一、为什么需要 NAT 穿透？

NAT（网络地址转换）让内网设备可以访问外网，但外网无法直接访问内网设备。

例如：

内网 A (192.168.1.10) → NAT → 公网 IP 1.1.1.1
内网 B (192.168.2.20) → NAT → 公网 IP 2.2.2.2

A 和 B 都只能主动连接别人，无法直接互相连接。

二、NAT 的类型（决定穿透难度）

NAT 行为不同，穿透策略也不同：

实际网络中 Port Restricted + Symmetric 最常见。

三、NAT 穿透的核心思路

“让双方 NAT 都认为对方是‘已允许的外部主机’”

实现方式主要有 4 种：

四、常见 NAT 穿透方案

1️⃣ STUN（最常用）

原理：

• 客户端向 STUN 服务器发送 UDP 包
• 服务器返回客户端的 公网 IP + 端口
• 客户端把这个地址告诉对方
• 双方互相发包，触发 NAT 建立映射

适用：

• UDP
• 非 Symmetric NAT

流程示意：

A ──> STUN 服务器 ──> 得到公网IP:port
B ──> STUN 服务器 ──> 得到公网IP:port

A 和 B 交换地址
A 向 B 发包（打洞）
B 向 A 发包（打洞）

✅ 优点：

• 简单、成熟、成本低

❌ 缺点：

• 对 Symmetric NAT 成功率低

2️⃣ TURN（兜底方案）

原理：

• 当 P2P 无法建立时
• 数据通过 中继服务器转发

角色：

• 中继服务器（Relay）
• 客户端 A / B

适用：

• 所有 NAT 类型
• 企业网络、严格防火墙

✅ 优点：

• 100% 可用

❌ 缺点：

• 带宽成本高
• 延迟增加

3️⃣ ICE（工业级标准）

ICE = STUN + TURN + 候选地址管理

流程：

1. 收集候选地址：
   • 本地地址
   • 服务器反射地址（STUN）
   • 中继地址（TURN）
2. 按优先级尝试连接
3. 选最优路径

✅ 用于：

• WebRTC
• VoIP
• 实时通信

4️⃣ UPnP / NAT-PMP（不推荐）

原理：

• 向路由器申请端口映射

问题：

• 路由器不一定支持
• 安全风险
• 企业网络禁用

五、UDP “打洞” 的关键机制

UDP Hole Punching（核心）

关键点：

• NAT 会记录：

  内网IP:port → 公网IP:port → 目标IP:port
  

• 只要 对方先发一个包，NAT 就会允许回包

示例：

A 向 B 发 UDP 包（即使失败）
B 向 A 发 UDP 包
A 的 NAT 认为 B 是“合法来源”

⚠️ 顺序很重要，通常需要几乎同时发包。

六、TCP NAT 穿透（更难）

TCP 穿透难点：

• 三次握手
• NAT 对 TCP 状态更严格

常见方式：

• TCP Simultaneous Open（极少成功）
• 使用 UDP 穿透 + 隧道
• 直接走 TURN

七、现实中的典型架构

        STUN / TURN Server
              |
A <---> NAT <--+--> NAT <---> B

1. A、B 登录信令服务器
2. 交换 SDP / 地址
3. ICE 尝试直连
4. 失败 → 走 TURN

八、常见应用场景

九、一句话总结

NAT 穿透的本质：利用 NAT 的状态记录机制，让双方“先互相敲门”，从而建立直连；不行就中继。

如果你愿意，我可以：

• 用 抓包级别 解释 UDP 打洞
• 画一张 完整时序图
• 对比 frp / Tailscale / ZeroTier 的实现方式