NAT、CGNAT 与端口映射失败排查

端口转发配置正确却始终检测失败，常见原因不是路由器菜单，而是上游还有一层 NAT。识别公网 IP、CGNAT 和双重路由后，才能决定继续做端口映射，还是改用内网穿透或虚拟局域网。

核心判断

路由器 WAN 地址是否为可达公网地址

常见障碍

CGNAT、双重 NAT、入站过滤

替代路线

FRP、虚拟局域网或托管服务器

排查要求

服务监听后再测试端口

先判断问题位置

家庭设备通常拿到私有地址，路由器再把连接转换到外网。如果路由器 WAN 口拿到的仍是私有或运营商共享地址，互联网请求无法直接到达你的路由器。

端口检测只有在游戏服务正在监听、协议匹配且防火墙放行时才有意义。不要用网页 TCP 检测器验证纯 UDP 游戏，也不要在服务关闭时下结论。

处理前准备

• 登录路由器查看 WAN 或互联网 IPv4 地址
• 用可信 IP 查询页面记录当前出口 IPv4
• 确认光猫是否也处于路由模式
• 记录游戏设备的固定局域网 IP
• 确认游戏端口、协议与监听状态
• 备份路由器当前配置

按顺序处理

1. 比较 WAN 与出口地址

   两者相同或可对应时可能具备公网入口；明显不同则继续检查上游 NAT。

2. 识别保留地址

   100.64.0.0/10 常用于 CGNAT；10.x、172.16-31.x、192.168.x 属于私有范围。

3. 检查双重 NAT

   光猫和自有路由器都做路由时会形成两层 NAT，需要桥接、DMZ 或逐层转发。

4. 固定房主内网地址

   使用 DHCP 保留，避免电脑重启后 IP 变化导致转发指向旧设备。

5. 建立精确转发

   按游戏要求设置 TCP 或 UDP、外部端口、内部 IP 与内部端口。

6. 启动服务再外网测试

   从手机移动网络或异地设备测试，观察服务器是否收到连接。

7. 选择替代路线

   无法获得入站公网连接时，使用 FRP、虚拟局域网或托管服务器，不必继续反复改路由器。

验证与补充

CGNAT 的判断

路由器 WAN 地址落在 100.64.0.0 到 100.127.255.255，或与出口 IPv4 不一致，通常说明存在上游共享地址。最终可向运营商确认。

IPv6 的可能性

双方网络和游戏都正确支持 IPv6 时可直接连接，但仍需防火墙允许入站，且不要把临时隐私地址当长期服务器地址。

UPnP

UPnP 可让游戏自动申请映射，但依赖路由器、NAT 层级和安全策略。失败时仍要回到地址与监听检查。

端口检测局限

网站通常只能测试 TCP。UDP 没有相同的握手方式，应使用游戏客户端或专用工具从外网验证。

仍未解决时

根据当前现象选择对应分支，保留可工作的配置和存档备份。

常见问答