给家里的电脑装个文件服务器，为什么感觉像在搞黑科技？打开网页、点个下载，谁都会；但让另一台电脑主动连上你家那台机器，大部分人第一反应是"我的IP会不会被人看到"。
这种反应不是天生的。1994年一份技术文档悄悄定下了这条规则，三十年后，它变成了普通人的默认常识。
一分钟讲清：NAT切断了什么
1994年，RFC 1631正式提出网络地址转换（NAT）。当时的问题很具体：IPv4地址快用完了，路由表也快扛不住了。CIDR负责压缩路由表，NAT负责让一堆内网设备共用一个公网地址——这是应急方案，不是精心设计的终局。
路由器只记得"谁主动发出去的连接"，靠这条记录把回包原路送回内网设备。可一个未经请求、主动找上门的入站包，路由器根本没有对应的映射记录，不知道该转给内网哪台机器。这背后没有防火墙主动拦截，只是路由器缺一条记录。
这条设计决定了家用设备默认只能"发起连接"，不能"接受连接"。你能刷网页、能下载，但自己的电脑成不了别人能直接连上的服务器——除非你想办法绕开这条默认规则。
补丁越叠越厚，谁被卡住
行业三十年没坐视不管，但每一层补丁都是绕开问题，没有一层真正恢复"直连"。
| 补丁 | 怎么用 | 卡在哪 |
|---|---|---|
| 端口转发 | 路由器管理员固定映射某端口给某设备，不经第三方，直连 | 需要路由器admin权限；处于CGNAT时公网IP被运营商多户共享，你拿不到独占映射，配得再对也没用 |
| UPnP/NAT-PMP | 软件自动向路由器申请端口，省了手动配置 | 常被安全策略默认关闭；CGNAT下同样无效 |
| STUN | 问公网服务器"我发出去的包在你那边啥样"，据此打洞直连 | 多数锥形NAT能通；但如果NAT表现为对称型（部分CGNAT会这样），换个目标端口地址就变，STUN直接失效 |
| TURN | 放弃直连，全部走中转服务器 | 几乎都能通，但要有人掏钱运维，多绕一层延迟 |
| ICE | 把以上全试一遍，谁能通用谁 | WebRTC的做法，今天能拿到的最好方案，本质是组合尝试，不是根治 |
TURN和ICE能解决大多数场景的连通问题，代价是要么花钱租中转服务器，要么多绕一层延迟。原本一句"告诉他我的地址，他连过来"就能办成的事，现在要经第三方服务器才勉强做成。
如果你只是想搞清楚自己卡在哪：查一下路由器的WAN口IP，再搜"我的IP地址"看浏览器显示的是什么。两者不一样，大概率是运营商把你塞进了CGNAT——这种情况下端口转发配得再对也没用，问题不在你，在你拿不到独占的公网地址。可以问运营商能不能加钱开独立公网IP，也可以看看家里路由器有没有开IPv6，部分ISP的IPv6是原生公网地址，用不着NAT。
如果你在做自托管或点对点应用：别指望STUN单打就能通，ICE该配的STUN、TURN都要配全。预算有限，Tailscale、ZeroTier这类基于WireGuard的组网工具，本质上是把"打洞+中转"打包好了，比自己接一套ICE省事。连接质量要求高、预算够，直接买一台带公网IP的VPS做跳板，目前仍是最省心的路线。
我的判断
NAT不是互联网走向中心化的唯一推手，但它出手最早、埋得最深。运维成本、安全顾虑、带宽账单、家庭动态IP会变——这些同样在把普通人推向云端，NAT只是最先把"设备连云端"变成技术默认的那一层。
孟子讲"天时不如地利"，这里刚好对上：不是平台先起了把用户圈进云端的心思，是地址稀缺这个"地利"先把大家逼上了这条路，商业模式后来才顺势长在上面。
RFC 1631发布时，业界已经在讨论下一代地址空间——后来变成IPv6，给每台设备一个全球唯一地址，理论上能让NAT问题从根上消失。三十年过去，IPv6的普及速度还没快到能把NAT挤出局：不少网络即便上了IPv6，也习惯性用有状态防火墙挡住未经请求的入站流量，有些家庭路由器甚至专门给IPv6也套一层NAT66——这更像是延续NAT时代的安全习惯，不是IPv6标准要求如此。
三条线任何一条卡住，穿透就可能整体失效：NAT类型是不是对称型、ISP有没有把你塞进CGNAT、机构网络给不给转发权限。这不是"配置错了"能解决的问题，是网络环境本身的限制。
最讽刺的一层，NAT常被当成"安全功能"宣传——"你的设备藏起来了，很安全"。这只是地址转换顺手带来的不可达，谈不上是精心设计的安全策略；真想要防火墙，该主动配一个。
接下来值得盯的变量：运营商的CGNAT政策会不会松动，IPv6原生公网分配会不会成为默认选项，Tailscale这类mesh工具能不能进一步压低自托管的门槛——这三条里任何一条松动，自托管的门槛都会往下走一截。
下次你想把家里那台闲置电脑改成服务器，却在端口转发和CGNAT上卡半天，不用怀疑自己不懂技术。你撞上的是一个三十年前的应急方案，它至今没有被真正替换掉。