一、NAT3 意味着什么
NAT3 的技术定义是端口限制型锥形 NAT：映射端口是稳定的，但外部想主动连你，必须满足「你之前主动连过它那个 IP 和 那个端口」。换句话说，对方端口一变，包就被丢了。
对普通上网毫无影响；但在 PCDN 回连、游戏点对点联机、NAS/监控的远程访问这些场景里，成功率会明显下降。
二、判断限制来自哪一层
家庭网络的 NAT 通常不止一层：运营商可能做了一层 CGNAT，你的光猫拨号又做一层，后面接的路由器还做一层。层层叠加后，最终表现就是 NAT3 甚至 NAT4。
方法一：看路由器 WAN 口拿到的 IP
登录路由器，查看 WAN 口（外网口）地址：
| WAN 口看到的地址 | 说明 |
|---|---|
| 10.x.x.x / 172.16~31.x.x / 192.168.x.x | 上一层还有 NAT。如果光猫是路由模式，这个地址是光猫分配的；如果光猫已桥接，那大概率是运营商 CGNAT |
| 100.64.x.x ~ 100.127.x.x | 运营商级 CGNAT 的典型标志（RFC 6598 专用段），自己改不了 |
| 正常公网 IP | 你已经有公网地址，限制多半来自设备上的过滤设置 |
方法二：做一次「去掉路由器」的对照测试
把电脑直接接到光猫的 LAN 口（或临时用光猫的 WiFi），由电脑拨号或自动获取，再测一次 NAT 类型：
- 类型变好了 → 问题在你自己那台路由器，往下看第三节；
- 类型没变 → 限制来自光猫或运营商，需要动光猫（第四节）。
三、自己就能改的几项（路由器层）
- 关掉「安全防护 / 网络加速 / 儿童上网」类功能。部分固件会顺带限制入站端口，先关掉再测，成本最低。
- 把光猫设为桥接、由路由器 PPPoE 拨号。这一步能直接消掉一层 NAT，是收益最大也最常见的一项。
- 只保留一层 NAT。如果光猫必须拨号，那就让路由器改「AP / 交换机模式」，别再 NAT 第二次。
- 开 UPnP 或手动端口映射。对固定的服务端口（NAS、监控）有效；对 PCDN、游戏这类随机端口帮助有限。
四、需要动光猫的几项
光猫的普通账号（一般叫 useradmin）看不到 WAN 配置、桥接、DMZ、端口映射这些页面，需要超级管理员账号。获取方式和注意事项单独写在另一篇：光猫超级管理员密码怎么获取。
拿到权限后，按收益排序通常是：
- 改桥接，让路由器拨号（消掉一层 NAT）；
- 关闭光猫自带的防火墙 / SIP ALG（ALG 有时会改写端口，反而捣乱）；
- 给指定设备开 DMZ（只对单台设备有效，注意安全）；
- 做端口映射（只对固定端口有效）。
动手前务必做三件事：拍下光猫原来的所有配置页；记下宽带账号和密码（桥接后要用它拨号）；确认 IPTV / 座机是否绑定了某个 LAN 口。改错最常见的结果就是「上不了网」，而且自己没有备份很难恢复。
五、运营商侧的限制：改不了，只能申请
如果光猫已经是桥接、路由器也在拨号，WAN 口拿到的还是 100.64.x.x 这类地址，那说明运营商在给你做 CGNAT，家里的任何设置都无法突破。
可行的方向只有：
- 向运营商申请公网 IPv4 地址（部分地区对家宽开放，说明用途即可）；
- 改用支持 IPv6 的线路，很多场景下 IPv6 没有 NAT 这一层；
- 换一家对 PCDN / 联机友好的宽带（同一个小区不同运营商差别可能很大）。
六、现实预期：别被「一键变 NAT1」忽悠
说点实话：
- 大多数家宽做完上面这些，能从 NAT3 提升到 NAT2，这已经是正常水平；
- 能不能到 NAT1，取决于运营商是否给你公网 IP、以及它那层的过滤策略，不是改路由器能决定的；
- 凡是承诺「任何宽带都能变 NAT1」的说法，基本可以直接跳过。
改完记得重新测一次做对照，最好在改之前先测一次留个基线。测试入口在首页，10 秒出结果。