运营商级 NAT 与端口转发：家里为什么映射了也进不来

端口转发成立的前提，是路由器的广域网地址本身能从网上被访问。很多家庭宽带现在用运营商级 NAT，你的路由器拿到的是运营商内网里的地址，真正的公网地址在更外面一层，你改不到。地址若落在 100.64.0.0 到 100.127.255.255 这一段，或是别的私网段，外面的人按这个地址敲门，敲不到你的转发规则。

游戏显示 NAT 严格、远程桌面连不上、自己搭的服务只有局域网能开，经常是同一件事。下面先学会分辨广域网地址是不是公网，再决定是找运营商要公网、改用能从外面连进来的中转，还是继续在规则表里打转。具体能否申请公网，以运营商当时的业务为准。

三种地址不要看成一种

外出查询网站上看到的地址，要和路由器广域网一栏对照。两个不一样，就说明中间还有一层转换，你在家里做的转发，外界按查询到的那个地址访问时，不会落到你的规则上。

先确认有没有公网：分步操作

• 第一步：先不要改转发规则。若你需要打开查询地址的网站或运营商营业厅，先连上刺猬VPN 把页面打开，看完地址再断开，避免把线路的出口地址误当成宽带地址。自定义用户名和密码即可匿名注册，不需要邮箱和手机号。免费节点永久免费、不限流量、不限速。全程 HTTPS+AES 加密传输。核对宽带地址时必须断开线路，否则看到的是节点的地址。
• 第二步：断开线路后，用浏览器查一次本机对外地址，抄下来。
• 第三步：登录路由器，看广域网或上网设置里的 IP。它若以 100.64 到 100.127 开头，或是 10 开头、192.168 开头，而你并没有自己再接一层企业网，这就是没有公网。
• 第四步：把这个广域网地址和刚才抄下的对外地址对比。一致，才有资格谈端口转发。不一致，转发表可以先别填。
• 第五步：确认是公网之后，再写转发：协议选对 UDP 或 TCP，外部端口和内部端口按软件要求，内部 IP 填那台电脑当前的局域网地址。
• 第六步：电脑若是自动获取地址，在路由器里给它一个保留地址，否则重启后内部 IP 变了，规则会指向一台不存在的机器。
• 第七步：从不是这家宽带的网络测试，例如手机蜂窝。用同一家宽带的另一台电脑测试，测到的仍是局域网。
• 第八步：测试失败且地址确实是公网，再查电脑防火墙是否放行，以及软件是否只听在 127.0.0.1。
• 第九步：确认是运营商级 NAT 后，向运营商询问能否提供公网地址。办不成时，改用带中转的远程方式，不要连续改端口号。

规则写了却仍然关闭

在线检测说端口关闭，只说明从检测点敲这个地址的这个端口没有服务应答。原因可以有四层。

• 广域网是 100.64 段：运营商级 NAT。检测点敲到的是运营商的地址，不是你的路由器。改规则无效。
• 对外地址和广域网不一致：中间还有一层。你转发的是内层，检测打的是外层。
• 两者一致仍关闭：规则的内部 IP 过期，或协议选成了 TCP 而软件听的是 UDP。
• 软件只绑定本机回环：转发到了电脑，电脑却不在这个端口对外听。改软件的监听地址。
• 防火墙拦截：路由器放行了，系统防火墙没有。给该程序放行对应端口。
• 用同一条宽带测试：你在地址转换的内侧，测不到外侧。换蜂窝网络。
• 游戏仍显示严格：游戏要的是自己的端口和自己的检测，不是你刚才测通的那个网页端口。按游戏要求的协议再写一条。
• 双层路由：光猫拨号、路由器又拨号，或相反。转发要写在真正拿到公网的那一台设备上，写在内层路由器上不够。

线路解决不了没有公网

刺猬VPN 不把家里的私网地址变成运营商承认的公网地址。它能帮你打开网页、做加密传输，不能在运营商那一层替你做端口映射。免费节点永久免费、不限流量、不限速。实际可用性取决于当前网络环境。

和游戏、路径检测怎么分工

主机游戏显示 NAT 严格时，先用上面的办法确认是不是运营商级 NAT，再按游戏自己的端口对照，见 Nintendo Switch 联机。路径上每一跳是否还通，用 traceroute 与 ping 看，不要用转发规则代替路径检测。

自己架的服务若必须从外面访问，又申请不到公网，就改成由一台有公网的机器中转，而不是在 100.64 的地址上反复保存规则。中转的机器要你自己有权管理，不要把家里的管理端口暴露到没有身份验证的公网页面上。

常见报错速查表

申请公网之前先把证据留好

给运营商客服看的时候，准备三行：路由器广域网地址、断开线路后查询到的对外地址、你需要打开的是哪一种服务。只说端口转发失败，客服会让你重启光猫。两行地址不一致，或广域网落在运营商内网段，才说明要的是公网地址这件业务，不是重启。

光猫如果是桥接，公网应出现在你自己的路由器上。光猫如果是路由模式，公网在光猫上，你的路由器只是它下面的一层，转发必须写在光猫里，或者把光猫改成桥接后再由路由器拨号。两台设备都开拨号，就会变成双重转换，只改其中一台的规则表不够。改桥接前先记下宽带账号，改完上不了网时要能改回去。

有了公网之后，仍只转发你真的在用的端口，并给服务加上登录。检测网站显示开放，只说明端口有程序回答，不说明这个程序应该被全世界访问。不用的规则删掉。电脑更换网卡或重装系统后，保留地址可能失效，要重新绑定再测一次。

光猫和路由器上的指示灯正常，不代表地址是公网。先看数字。把广域网地址、断开线路后的对外地址、规则里填写的内部地址抄在同一张纸上。三行里只要对外地址和广域网对不上，就停下来找拿到公网的那一层设备。对得上，再看内部地址是不是这台电脑现在的地址。电脑用网线时是一个地址，改用无线时是另一个，规则不会跟着变。测试用手机流量，关掉无线，避免手机仍走家里的网。检测网页只测你填的那一个端口，游戏若还要另一个端口，要另写一条并再测一次。规则列表里过期的旧端口删掉，免得以后忘记哪一条才是正在用的。向运营商申请时，问清楚给的是固定公网还是会变化的公网。会变化时，规则不用改内部地址，但你告诉朋友的外部地址要更新。把变化这件事记在备忘录里，比每次都以为规则坏了要快。同一端口不要既在光猫上转发、又在路由器上转发到不同的电脑。两台设备抢同一个口时，检测结果会时通时断。先确定公网在哪一台，只在那一台保留规则。家里来了客人连上无线，不会改变广域网地址，但会让你误以为是人数变多导致端口失败。人数和端口是否开放无关。把这三行地址拍照留存，下次客服要求核对时不用重新登录路由器。

高频问答

• 问：100.64 开头一定是运营商级 NAT 吗？答：这一段是专门划给运营商级转换的。家里广域网落在这里，就可以按没有公网处理。
• 问：换一个端口号会不会就通？答：没有公网时，换端口仍然敲不到你的路由器。
• 问：开了线路为什么查询地址变了？答：那时看到的是节点出口。核对宽带时要断开线路再查。
• 问：IPv6 能代替吗？答：如果运营商给了可用的公网 IPv6，有的软件能直接听在 IPv6 上。没有可用前缀时，不能当成端口转发的替代。以你路由器里实际出现的地址为准。
• 问：游戏 NAT 开放是不是就有公网？答：不一定。以广域网地址和对外地址是否一致为准，游戏里的一句提示只供参考。
• 问：中转和转发哪个先试？答：先花一分钟核对地址。是公网就写转发。不是公网，再考虑申请或中转。

地址对上了再写规则

对外地址、广域网地址、规则里的内部地址，三行对上，端口检测才有意义。对不上就去找拿到公网的那一层，不要在错误的设备上保存第十条规则。

运营商级 NAT 下端口转发不生效，是因为外界访问不到你的路由器。刺猬VPN 采用 HTTPS+AES 加密传输，可以用来打开查询页面和营业厅，不能把 100.64 段变成公网。免费节点永久免费、不限流量、不限速，时长套餐期间不限流量、不限速。能否办理公网以运营商为准，实际可用性取决于当前网络环境。