系统常识 NAT端口映射路由器内网排查
NAT 与路由器端口映射的原理
讲清 NAT 把内网地址翻译成公网地址的工作方式、端口映射「为某台内网机器开一条入口」的原理，以及配置映射后仍连不上时的依次排查顺序。
发布于 2026/11/11
所属频道 装机通用常识
结论先行
NAT 的工作方式是「出方向改写、入方向登记」：内网机器主动往外发包时，路由器把源地址改写成自己的公网地址并记一张对照表，回来的包按表还原。端口映射是在此基础上预先登记一条固定入口：公网某端口 → 内网某台机器的某端口。映射本身只解决「路由器这一层」，内网机器的防火墙与公网侧是否还有 NAT，是另外两层，全通才通。
三层要分开看
| 层 | 做什么 | 常见断点 |
|---|---|---|
| 路由器 NAT | 登记映射规则 | 规则没生效、端口写错 |
| 内网机器 | 放行对应端口 | 本机防火墙没放行 |
| 公网侧 | 上游还有没有别的 NAT | 运营商侧还有 NAT 时映射无效 |
「端口映射配了就是通的」是错的：只解决了中间一层，外层、内层任一断，映射形同虚设。
配完仍连不上的依次排查
- 本机侧先放行：在 Windows 防火墙里放行该端口（对照 Windows 条目），测试工具对照 Linux 条目 各发行版的端口检查条目交叉验证。
- 确认公网侧：查路由器 WAN 口 IP 是否为真实公网 IP（与运营商给的对照，是否公网以运营商说明为准），若是「大内网」则映射无效。
- 路由器规则：映射条目里 IP、端口、协议（TCP/UDP）与要访问的服务严格一致。
- 服务端场景：服务器上做公网接入（含数据库类服务的暴露面）的安全策略，对照 Windows 服务器条目；具体症状对照 搜索入口 查条目再动手。