一、先理解 NAT 在做什么
家庭宽带只有一条公网线路，却要带手机、电视、电脑一堆设备长期在线，靠的就是 NAT（网络地址转换）：把内网的私有地址映射成公网地址 + 端口，把内网设备藏在后面。
关键在于，NAT 设备其实管两件独立的事：
- 映射（Mapping）：内网某个「IP + 端口」发出去的包，被换成了公网上的哪个「IP + 端口」。这个映射是内网端口独占一个公网端口，还是把所有内网端口都塞到同一个公网端口上？
- 过滤（Filtering）：外面有包想进来，NAT 放不放行？是完全不设防，还是要求你之前主动连过那个 IP，甚至必须连过那个 IP 和 那个端口？
两个维度各自有几种行为，组合起来就是大家常说的 NAT1 到 NAT4。所以「NAT 类型」不是厂商自定义的名词，而是有明确技术定义、可以用 STUN 探测出来的。
二、四种类型对照表
| 类型 | 中文 | 映射行为 | 过滤行为 | 典型影响 |
|---|---|---|---|---|
| NAT1 | 全锥形 Full Cone |
内网端口固定映射到一个公网端口 | 不限制来源，任何外部主机都能主动连进来 | 打洞最顺，PCDN 收益最高，联机几乎不挑对端 |
| NAT2 | IP 限制型 Restricted Cone |
同上，端口稳定 | 只有你主动连过的 IP 才能回连（端口不限） | 绝大多数联机场景可用，属「正常」水平 |
| NAT3 | 端口限制型 Port Restricted Cone |
同上，端口稳定 | 必须主动连过那个 IP 和 端口才能回连 | 打洞成功率明显下降，PCDN 收益偏低，部分游戏难联机 |
| NAT4 | 对称型 Symmetric |
每访问一个新目的地址就换一个公网端口 | 按「IP + 端口」严格限制 | 双方无法预测对方端口，直连基本不可行，只能靠中继 |
注意一个常见误解：NAT1 不代表网速快。它只说明「外部能主动连进来」，和带宽、延迟是两件事。反过来，NAT4 也不是「网坏了」，只是不适合点对点直连。
三、为什么你的 NAT 类型「天生」不太好
同一条宽带测出 NAT3/NAT4，通常不是路由器设置错了，而是链路本来就叠了两层 NAT：
- 运营商侧 CGNAT：公网 IPv4 不够用，很多宽带给的是运营商内网地址。这一层确实不在你家设备上，但不是只能忍着 —— 这类问题我能解决，见下面的卡片。
- 光猫 + 路由器双重 NAT：光猫拨号一次，路由器再 NAT 一次，两层叠加后过滤条件变得更严。
- 路由器上的「安全防护 / 网络加速」：部分固件会额外做端口限制，等于又加了一层过滤。
卡在运营商 CGNAT？这不是死局。WAN 口拿到 100.64.x.x 这类地址，就是运营商在给你做 CGNAT：改路由器没用，但可以解决。把你的实测结果、宽带运营商和地区发我，我按你的线路给一套能落地的办法。
想知道自己卡在哪一层、能改哪几项，可以看下一篇：NAT3 怎么提升到 NAT1。
四、测准的前提
这类测试靠 UDP，有几点会影响结果，测之前先确认：
- 用浏览器打开测试页，别用会拦截 WebRTC 的插件或「隐私模式 + 严格防护」；
- 企业网、校园网、部分酒店 WiFi 会直接封掉 UDP，结果只会是「UDP 被阻断」，不代表你家宽带也是这样；
- 手机 4G/5G 和家宽的结果通常不同，那是两套不同的网络，分别测才有意义。