理解 NAT：IPv4 网络中的地址与端口转换

NAT 在网络边界转换地址；PAT 还会转换端口，使多个客户端可以共用公网 IPv4 地址。地址转换仍然需要正确的路由和明确的防火墙策略。

为什么需要地址转换

IPv4 约有 43 亿个地址，少于联网设备的数量。网络内部使用私有地址、边界使用公网地址，可让多个设备共享连接。例如，内部客户端 192.168.1.10、192.168.1.20 和 192.168.1.30 可以通过公网地址 203.0.113.5 对外通信。RFC 1918 私有地址不会在全球互联网中路由。

静态 NAT 是固定的一对一映射，例如用于某台服务器。动态 NAT 从公网地址池中选择地址。PAT 常被称为 NAT overload，利用一个或少数公网地址及转换后的端口，区分大量内部连接。

理解一条 PAT 转换记录

内部本地地址通常指主机在内部网络中看到的地址；内部全局地址指它对外可见的地址。NAT 修改地址，PAT 还修改源端口，并在表中保存状态。它本身不决定路由：正确的接口、路由和访问控制列表仍是前提。

在这一简化示例中，192.168.1.10:5001 转换为 203.0.113.5:10001，192.168.1.20:5001 则转换为 203.0.113.5:10002。两条示例连接的目标都是 8.8.8.8:80。转换状态将每条返回连接与其内部客户端关联；相同的内部源端口不必转换成相同的外部端口。

NAT 不是防火墙

PAT 意味着，如果没有匹配状态，任意未经请求的入站连接不会自动关联到内部主机。这并不能替代明确的安全策略。端口转发、静态映射和协议辅助功能可能暴露服务。防火墙则根据规则、区域、身份或应用评估流量。

修改报文头会使某些协议、故障排查和端到端连接变得复杂。IPv6 提供远大得多的地址空间；其安全性来自过滤和分段，而不是人为延续地址稀缺。

排障应从地址转换之前开始

先检查内部主机能否到达网关，以及是否存在目标路由，再检查 NAT 匹配分类、ACL、转换表和返回路径。没有转换表项，可能说明流量未到达设备或不匹配规则。有表项但没有回复，可能涉及上游路由、过滤或目标服务故障。

在两侧抓包，确认地址与端口按预期变化。日志容量应根据真实 PAT 流量规划，尤其当之后需要将连接追溯到内部客户端时；还要监控可用端口容量。

实用检查清单

01
检查内部与外部接口及路由。
02
将源网络、目标和 NAT ACL 与测试流量对照。
03
进行针对性测试时，观察转换表项和计数器。
04
检查双向路径是否存在非对称路由或过滤。
05
监控 NAT 日志与端口容量。

常见问题

为什么服务在内部正常，却无法通过公网地址访问？

可能缺少端口转发、防火墙规则不合适、返回路由错误，或内部通过公网地址访问时缺少回流 NAT。

NAT 会让网络安全吗？

单靠 NAT 不会。安全取决于明确的过滤、网络分段、安全服务、身份管理和监控。NAT 主要负责转换地址与端口。

理解 NAT：IPv4 网络中的地址与端口转换

学以致用的知识。