NAT3 怎么提升到 NAT1？先搞清你卡在哪一层

想自己动手也行 —— 下面这套流程，从判断到动手都能照做。

一、NAT3 意味着什么

NAT3 的学名是端口限制型锥形 NAT：你的映射端口是稳定的，但外面想主动连进来，必须满足「你之前主动连过它那个 IP 和 那个端口」。换句话说，只要对方换了个端口，包就被丢了。

对普通上网毫无影响；但在 PCDN 回连、游戏点对点联机、NAS/监控的远程访问这些场景里，成功率会明显下降。

二、判断限制来自哪一层

家庭网络的 NAT 通常不止一层：运营商可能做了一层 CGNAT，你的光猫拨号又做一层，后面接的路由器还做一层。层层叠加后，最终表现就是 NAT3 甚至 NAT4。

方法一：看路由器 WAN 口拿到的 IP

登录路由器，查看 WAN 口（外网口）地址：

WAN 口看到的地址	说明
10.x.x.x / 172.16~31.x.x / 192.168.x.x	上一层还有 NAT。如果光猫是路由模式，这个地址是光猫分配的；如果光猫已桥接，那大概率是运营商 CGNAT
100.64.x.x ~ 100.127.x.x	运营商级 CGNAT 的典型标志（RFC 6598 专用段），要从运营商侧解决
正常公网 IP	你已经有公网地址，限制多半来自设备上的过滤设置

方法二：做一次「去掉路由器」的对照测试

把电脑直接接到光猫的 LAN 口（或临时用光猫的 WiFi），由电脑拨号或自动获取，再测一次 NAT 类型：

• 类型变好了 → 问题在你自己那台路由器，往下看第三节；
• 类型没变 → 限制来自光猫或运营商，需要动光猫（第四节）。

三、自己就能改的几项（路由器层）

1. 关掉「安全防护 / 网络加速 / 儿童上网」类功能。部分固件会顺带限制入站端口，先关掉再测，成本最低。
2. 把光猫设为桥接、由路由器 PPPoE 拨号。这一步能直接消掉一层 NAT，是收益最大也最常见的一项。
3. 只保留一层 NAT。如果光猫必须拨号，那就让路由器改「AP / 交换机模式」，别再 NAT 第二次。
4. 开 UPnP 或手动端口映射。对固定的服务端口（NAS、监控）有效；对 PCDN、游戏这类随机端口帮助有限。

四、需要动光猫的几项

光猫的普通账号（一般叫 useradmin）看不到 WAN 配置、桥接、DMZ、端口映射这些页面，需要超级管理员账号。获取方式和注意事项单独写在另一篇：光猫超级管理员密码怎么获取。

拿到权限后，按收益排序通常是：

1. 改桥接，让路由器拨号（消掉一层 NAT）；
2. 关闭光猫自带的防火墙 / SIP ALG（ALG 有时会改写端口，反而捣乱）；
3. 做端口映射（只对固定端口有效）。

五、运营商侧的限制：家里调不动，但能解决

如果光猫已经是桥接、路由器也在拨号，WAN 口拿到的还是 100.64.x.x 这类地址，那说明运营商在给你做 CGNAT。这一层不在你家设备上，路由器怎么调都改变不了它 —— 但它不是「只能认了」，这正是我能帮你处理的部分。

这种情况不用自己硬扛。把测出来的结果和宽带信息发我，我按你这条线路的实际情况给办法 —— 入口就是文首那张卡片，不用你跟客服来回拉扯、也不用一家家试运气。

想先自己试，也可以从这几个方向入手：

• 向运营商申请公网 IPv4 地址（部分地区对家宽开放，说明用途即可）；
• 改用支持 IPv6 的线路，很多场景下 IPv6 没有 NAT 这一层；
• 换一家对 PCDN / 联机友好的宽带（同一个小区不同运营商差别可能很大）。

六、现实预期：别被「一键变 NAT1」忽悠

说点实话：

• 大多数家宽做完上面这些，能从 NAT3 提升到 NAT2，这已经是正常水平；
• 能不能到 NAT1，取决于运营商那层（有没有公网 IP、过滤怎么配），改路由器决定不了 —— 这部分可以找我；
• 凡是承诺「任何宽带都能变 NAT1」的说法，基本可以直接跳过。

改完记得重新测一次做对照，最好在改之前先测一次留个基线。测试入口在首页，10 秒出结果。