双重 NAT 怎么查：光猫拨号、第二台路由和端口转发

联机游戏显示严格或中等 NAT，远程桌面和端口转发怎么设置都不生效时，先看你的路由器从光猫拿到的地址。如果广域网地址是 192.168、10 或 172.16 开头的内网地址，说明前面还有一层地址转换，这就是双重 NAT。追踪路由时，离开你家之前会连续看到两跳私网地址。

运营商大 NAT 的地址常落在 100.64 开头的共享段，你家即使只有一台路由，公网端口转发也同样做不到。两件事的处理不一样：双重 NAT 可以改光猫为桥接，或把自己的路由改成接入点。大 NAT 则改不了光猫的拨号模式，只能换线路形态或不用入站端口。下面先查地址，再动设置。

双重 NAT、大 NAT 和单层 NAT 怎么认

先在路由器状态页看广域网地址，再决定桥接还是接受无法入站。不要看见严格 NAT 就立刻重置所有设备。

从地址到少一层转换：分步操作

• 第一步：先分清你是要出站还是要别人连进来。若只是为了打开网站而使用刺猬VPN，安装后用自定义用户名和密码注册，不需要邮箱和手机号。出站连接不依赖端口转发。免费节点永久免费、不限流量、不限速。要做的是避免再叠一层没必要的转换。
• 第二步：登录你自己的路由器，抄下广域网地址。是公网地址，就不是双重 NAT。是私网地址，再登录光猫看它是路由模式还是桥接。
• 第三步：用追踪看路径。离开电脑后的第一跳应是你的路由器，下一跳若仍是另一台私网设备，就是第二层。命令和读法见相关的追踪说明，不要只 ping 一次就下结论。
• 第四步：能改光猫时，让光猫桥接，由你的路由器拨号。改完广域网地址应变成公网地址或运营商分配的非私网地址。桥接后光猫的无线会失效，家里设备改连你的路由器。
• 第五步：不能改光猫拨号时，把你的路由器改成接入点或关掉它的地址转换，只让光猫做唯一一层。这样端口转发要改到光猫上，而不是继续写在第二台路由里。
• 第六步：两台都不想动时，不要再期待端口转发。需要出站的联网用现有线路即可。需要别人连进家里的服务，改用本身不依赖家用端口的方式，或接受连不进来。
• 第七步：游戏仍显示严格 NAT 时，先确认已经只剩一层，再看游戏自己的 NAT 类型。主机和掌机的判定见对应游戏的联机说明。中途再开第二台路由，类型会回到严格。
• 第八步：若你同时开着线路，追踪会先进入隧道，私网跳数会被挡住。查双重 NAT 时先断开线路，在原网络上看广域网地址，查完再连接。

改完仍严格时按现象看

• 广域网仍是 192.168：桥接没生效，或你看的是另一台路由。重新看拨号的那一台。
• 地址已是公网、转发仍失败：规则写在了已经不再拨号的那台设备上。改到真正拨号的设备。
• 地址是 100.64：这是大 NAT，桥接光猫也拿不到独享公网端口。不要反复恢复出厂。
• 只有一台游戏严格、网页正常：那是游戏或主机的判定，不是整网双重 NAT。对照另一台设备。
• 连上线路后追踪只剩隧道：这是预期。要看家里的两层，必须断开再追踪。
• 桥接后所有人上不了网：拨号改到了路由器，但账号没填。把宽带账号填进路由器，而不是改回两层凑合。
• 无线名字变了：桥接会关掉光猫无线。让设备连接你的路由器的无线，不要再找旧名字。

出站线路和入站端口不要混

刺猬VPN不提供分应用的代理列表，也不把家里的双重 NAT 自动拆掉。出站用线路，入站靠单层 NAT 或接受做不到。实际可用性取决于当前网络环境。

光猫、路由器和游戏机各看哪一页

光猫的模式名称不一定写桥接两个字，可能写上网方式为桥接，或把路由功能关掉。改之前拍下原来的账号和 VLAN，改失败才能改回。路由器的接入点模式会关掉自己的拨号和地址转换，局域网地址改由光猫分配。两台同时开着 DHCP，设备会拿到混乱的网关，表现为时而能上、时而严格。

端口转发的规则必须写在拥有公网地址的那一台。内层路由上的规则只对内层有用。你在第二台上看起来保存成功，外面的扫描仍是关闭，这是正常的，不是规则没保存。

游戏机显示的 NAT 类型是它自己的测试，不是路由器状态页的替代品。单层之后仍严格，再查游戏要求的端口或主机的无线隔离。客人网络通常禁止设备互访，主机会一直严格。把主机放到主网络再测一次。

查结构时断开线路，是为了看见真实的两跳私网。查完再连接。连接之后若只是为了出站，不要为了追求开放 NAT 去关掉断线保护。入站服务和出站浏览可以分开做，不要在同一次改动里又桥接又改隧道。

家庭成员的旧路由器如果还插在光猫后面做第二层，先拔掉再测。很多人以为只有一台路由，其实光猫的局域网口上还挂着一台忘记的设备。广域网地址一旦变成公网或不再是私网叠私网，双重 NAT 这一层就去掉了。

和主机联机、追踪怎么分工

掌机和主机的 NAT 类型、联机失败怎么对照，见 Nintendo Switch 联机。追踪每一跳是内网还是公网、命令怎么读，见 追踪与 ping 怎么看。

追踪用来确认有几层，不负责把层数改掉。改层数只在光猫和路由器的模式里完成。

常见报错速查表

改完如何验收只剩一层

桥接或改成接入点之后，重新看广域网地址。它不再是私网叠在私网后面，这一层才算去掉。若仍是内网地址，说明拨号还在另一台设备上，你改的是内层。回到真正拨号的那一台看模式。

验收时保持线路断开，再做一次追踪。第一跳是你的路由器，下一跳不应再是另一台家用私网设备。下一跳若已经离开家，双重 NAT 就没有了。然后才重新连接线路。连接之后追踪变短是隧道的正常现象，不能用来否定刚才的验收。

端口转发改到拨号设备上之后，用一条你知道的规则做测试，不要一次写十几条。一条通了，再添加其余的。一条都不通，先看规则是不是还写在已经关掉地址转换的那台内层路由上。

家里如果还有人把旧路由接回光猫，广域网地址会在你不注意时变回私网。验收通过的当天，把多余的路由拔掉或改成只有交换功能。客人无线和主无线分开时，游戏机要放在主无线上再看 NAT 类型。

出站浏览从一开始就正常，不代表入站也正常。需要别人连进来的服务，以单层验收通过为准。只上网则不必为了开放类型去桥接。两种需求不要在同一小时里一起改，否则断网时不知道是账号没迁过去，还是隧道没连上。

记下改之前的光猫模式和宽带账号，改失败时才能在几分钟内恢复上网。没有备份就桥接，家人会在断网时要求立刻恢复，你可能把两层又叠回去，问题回到原点。

单层验收通过之后，再把需要出站的线路连上。连上之后游戏仍显示严格，先把主机放到主无线而不是客人无线，再测一次。客人网络隔离时，类型会一直严格，这和双重 NAT 已经无关。

高频问答

• 问：双重 NAT 和 100.64 哪个能自己改？答：双重 NAT 可以桥接或改接入点。100.64 是运营商层，家用桥接去不掉。
• 问：只上网需要桥接吗？答：不需要。出站通常不受影响。要别人连进家里才需要单层。
• 问：线路能代替端口转发吗？答：不能。线路是出站。入站端口仍看你有没有公网地址。
• 问：为什么要断开再追踪？答：隧道会挡住后面的跳。看家里的两层时要在原网络上看。
• 问：桥接会断网吗？答：光猫无线会停，拨号改到路由器。账号要一起迁过去。
• 问：游戏仍严格怎么办？答：先确认广域网已经不是私网叠私网，再查主机是否在客人网络。

改设置前先抄地址

双重 NAT 的判断只看广域网是不是私网、追踪是不是两跳私网。是，就桥接光猫或把第二台改成接入点。地址若在 100.64 段，就不要用同一套桥接期待公网端口。查的时候断开线路，用完再连。

刺猬VPN采用 HTTPS+AES 加密传输，支持断线保护，也可按域名做智能分流。匿名注册不需要邮箱和手机号。免费节点永久免费、不限流量、不限速。时长套餐有效期内不限流量、不限速。出站是否可用取决于当前网络环境。