UDP 打洞失败：NAT 类型、系统代理和隧道各改哪一层

很多游戏和语音不经过一台中心服务器转发每一句话，而是让两台设备直接互发 UDP。家里的路由器做了地址转换，外面的人看不到你的内网地址，于是双方先问一台公共的探测服务自己的出口是什么，再互相告知，试图让路由器记住这个洞。这个过程就叫打洞。失败时，表现是 NAT 严格、对方进不来、语音响一下就断。

打洞不是线路的一个开关。它成不成功，取决于两边的地址转换严不严。系统代理主要接管 TCP，UDP 会绕出去，打洞用的是你本地路由器的类型。隧道把 UDP 装进线路后，外面看到的是服务器那边的地址转换，类型常常更严，打洞反而更难。下面按怎么判断、该用中继还是该改模式讲。

几种地址转换对打洞的影响

网页能开，说明 TCP 是通的，不能证明打洞成功。检测要看联机或语音自己的状态，而不是看浏览器。

从打不通到知道卡在哪：分步操作

• 第一步：先把线路准备好，连上刺猬VPN。安装客户端后自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号，免费节点永久免费、不限流量、不限速，注册即用；全程 HTTPS+AES 加密传输。然后明确当前是系统代理还是全局隧道。两种模式对 UDP 的结果相反，不要混着测。
• 第二步：只开一种模式，做一次联机或语音测试，记下对方看到的状态词，例如严格、中等或失败。测完断开，再测另一种模式。一次只改模式。
• 第三步：系统代理下如果 UDP 功能完全没走代理，你测到的是家里路由器的类型。这时线路图标亮着，也不代表打洞走了线路。
• 第四步：改成全局或隧道后再测。若变得更严，说明外面看到的是服务器的地址转换。需要打洞的游戏，就不要为了别的网站一直开着隧道。
• 第五步：双方都在隧道后面时，打洞经常失败。改成一方用中继，或一方先退出隧道再连。不要两个人同时换五个节点碰运气。
• 第六步：游戏若提供中继或主机转发，优先开这个选项。打洞失败时，中继仍能通，只是多一跳。
• 第七步：路由器上不要同时开两层地址转换。光猫已经拨号、后面的路由又拨一次，类型会更严。能改成桥接再测一次。
• 第八步：测完把结论记下来：这个游戏在系统代理下能打洞，还是必须关隧道。下次不要重新猜。

按现象判断该改模式还是改中继

同一台电脑，网页正常而联机失败，就按 UDP 来查。

• 状态从开变成严格：多半是隧道把出口换成了更严的转换。这个游戏改回不走隧道，或改用中继。
• 系统代理下仍然严格：家里的转换本来就严，不是代理没生效。看光猫是不是已经做了一层转换。
• 只有语音断、游戏画面还在：语音走打洞，画面走别的服务器。分开看，不要重装整个游戏。
• 两人都不开线路就能连，一开就断：打洞被隧道改变了。玩这个功能时关掉隧道。
• 两人必须先能一起看某个网页才找得到房间：网页用隧道，进房后的语音改走中继。两段不要绑成同一个开关。
• 手机热点能连、家里不能：热点的转换更松。这证明是家里的设备，不是游戏坏了。
• 重启路由器后好一会儿又不行：映射超时。把游戏的中继打开，比反复重启路由器稳。
• 检测页说 UDP 被丢：打洞没有包可发。先让 UDP 能出去，再谈类型松紧。

三种接法哪个适合打洞

免费节点永久免费、不限流量、不限速，也不负责把对称型转换变成全锥。刺猬VPN自身不对账号设速率上限。实际可用性取决于当前网络环境。

和主机联机、代理模式怎么分工

主机上的 NAT 显示和出错代码，见 Switch 联机。系统代理和隧道分别带走哪些流量，见 隧道模式和系统代理。

先读那两篇里和你设备对应的开关，再回来决定这个游戏要不要打洞。需要打洞的功能留在本地转换较松的一侧；必须出境的网页用另一台设备或另一段时间，不要指望一个开关同时做到两件相反的事。

怎样做一次干净的对照

对照时双方约好只改一个人的模式。两个人一起换，就不知道是谁的转换变严了。每测一次把状态词记在同一行：时间、模式、对方看到的词。

公共场所的网络常常禁 UDP。这种地方打洞不会成功，中继也不一定被允许。换到家里再下结论，不要把咖啡馆的失败写成游戏的缺陷。

不要在路由器上打开来历不明的「全锥加速」。你只要知道自己是哪种类型、失败时改用中继。乱改映射可能把管理页面也锁在外面。

把每次对照记成一行

一行里写时间、谁改了模式、对方看到的状态词。没有这行，半小时后你会忘记是隧道开着还是关着。

只让一个人改。两个人一起换节点，失败时无法知道是哪一边的转换变严。

咖啡馆和公司网先排除。那里常常丢掉 UDP。回家或换手机热点再测，才能判断是游戏还是场所。

光猫拨号、路由器又拨号时，先问能不能改成桥接。少一层之后再测类型。不要先刷路由器系统。

游戏里有中继或转发开关就打开再测一次。通了就用它，不要继续追求打洞成功。多一跳是正常代价。

网页能开只能说明 TCP。联机测试必须在游戏或语音自己的界面里看。不要用浏览器插件代替。

需要出境的网页和需要打洞的语音不要绑在同一个晚上的同一次连接里。先把语音打通，再另开时间处理网页。

结论写成一句人话：这个游戏在家里不走隧道才能语音。贴在显示器边上，下次不用重测。

中继通了之后就固定这个选项。下次更新游戏若把开关复位，先看语音是否又断，再决定是不是网络坏了。

一方用热点、一方用家里的宽带，类型不同是正常的。只要有一方较松，打洞有时就能成。两边都严才必须中继。

不要用端口扫描去「打开」路由器。游戏需要的是中继或少一层转换，不是把管理端口暴露到公网。

记录里如果隧道开着能进网页、关着能语音，就把两件事分成两个时段。不要在语音通话中途把模式从代理改成隧道。

测试用的两台设备写上名字。事后只写「手机」会分不清是哪一台上的热点。名字和状态词放在同一行。

打洞失败但中继成功时，把延迟高当成预期。不要为了降延迟关掉中继又回到连不上。

路由器管理页改完要能从里面再打开。改之前记原值。改完打不通游戏也要能改回去。

对照做完就把隧道恢复到你平时上网的模式。不要为了一次语音把后面的浏览也留在错误的模式里。状态词和模式写在同一行，下次不用重测。中继一旦通了就不要为了省延迟关掉。失败就继续保持中继，不要关掉。

常见报错速查表

高频问答

• 问：隧道能不能把严格 NAT 变成开？答：不能保证。很多时候外面看到的转换更严，打洞更难。
• 问：系统代理为什么盖不住打洞？答：打洞用 UDP。系统代理传统上代理 TCP，UDP 仍从本地路由器出去。
• 问：两边都开隧道为什么更差？答：两边都变成服务器的转换，洞更难打成。需要直接互联时，至少一边退出。
• 问：中继是不是作弊？答：不是。那是打洞失败后的正常退路，延迟通常更高。
• 问：重启路由器有用吗？答：只能暂时清掉旧映射。类型本身不变。长期还是开中继或减少一层转换。
• 问：网页测试 UDP 就够了吗？答：不够。要看这个游戏或语音自己的状态，网页只说明浏览器。

先分清洞在本地还是在服务器

UDP 打洞失败、NAT 严格、语音一下就断，先做系统代理和隧道的对照。代理下的洞在家里的路由器；隧道下的洞在服务器一侧，常常更严。失败就用游戏自带的中继，不要两个人同时乱换节点。

刺猬VPN采用 HTTPS+AES 加密传输，支持自定义用户名和密码匿名注册，不需要邮箱和手机号。免费节点永久免费、不限流量、不限速；时长套餐按周期计费，期间不限流量、不限速。客户端有断线保护，也有按域名和地址的智能分流。这些都不把打洞算法改松。实际可用性取决于当前网络环境。需要直接互联的功能，按对照结果决定是否退出隧道。