NAT 设备在充当有状态防火墙的同时，会改写数据包的源 IP 与端口，导致私网设备无法直接接受互联网回包。本文解释 SNAT 如何通过建立映射关系，让单一公网 IP 承载多台私网设备访问互联网，并指出 DNAT 与穿透问题无关。
SNAT 映射的建立过程
当笔记本 192.168.0.20:1234 向 7.7.7.7:5678 发送 UDP 包时，家用路由器识别出这是新会话。私网地址在互联网不可路由，路由器从其公网 IP 2.2.2.2 中选取空闲端口 4242，创建映射：192.168.0.20:1234（内网侧）等同于 2.2.2.2:4242（公网侧）。此后凡匹配该映射的报文，路由器均按规则改写源 IP 与源端口后再转发。
NAT 设备的双重角色与 IPv4 稀缺
NAT 设备本质是“有状态防火墙 + 报文改写器”。除防火墙功能外，SNAT 让海量设备共享稀缺的 IPv4 地址，消费级路由器典型做法是将整个家庭网络映射到单个公网 IP。文中明确指出，DNAT 虽常用于端口转发，但不构成 NAT 穿透的难点；穿透障碍仅来自 SNAT 对源地址的改写。
报文在 NAT 设备中的转发路径
路由器应用新建映射后，原本源自 192.168.0.20:1234 的包变为源自 2.2.2.2:4242 继续前行。互联网侧仅见公网地址，回包到达 2.2.2.2:4242 时，路由器按映射反向改写目的地为 192.168.0.20:1234 并投递至内网。这种单向建立、双向复用的机制，是后续穿透技术（如 STUN、ICE）必须适配的基础行为。
运维与网络工程师需清楚：穿透方案必须配合 SNAT 映射的生存时间与端口分配策略，才能在不修改路由器配置的前提下，让两端私网设备建立直连通道。
原文: APNIC Blog（2022-04-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog