提交工单 
+373 79 600002 
Telegram 在线聊天 
常见问题 
中文 (中国)
English 
Русский 
Română 
Deutsch 
Français 
Türkçe 
Español 
Português 
Українська 
български 
Polski 
Indonesia 
CGNAT是什么？为什么端口转发失败以及如何解决
当端口转发规则正确但仍然无法访问时
您的 NAS 在家中正常打开。服务正在运行，端口转发规则指向正确的本地地址。然后您将手机切换到移动数据，再试一次，却得到超时。同样的问题可能影响家庭游戏服务器、VPN 服务器、CCTV 源或自托管应用。
快速的答案是该规则可能正确，但位于另一个边界之后。使用运营商级 NAT (CGNAT)，ISP 共享公共 IPv4 地址并在上游做出第一个入站决定。您可以控制家庭路由器上的规则，但新的互联网连接永远不会到达它，除非提供商的转换器知道将其发送到何处。
这并不能证明 CGNAT 是罪魁祸首；本地问题看起来可能完全相同。该服务可能仅在 localhost 上侦听，或主机防火墙可能阻止它。路由器规则可能使用错误的 TCP/UDP 协议或过时的目标地址，而第二个本地路由器可能添加另一个边界。首先识别边界，区分 CGNAT 与普通 NAT 和双 NAT，然后为您需要的访问选择解决方案。
快速关键词：什么是CGNAT以及ISP为什么使用它
这些术语足以跟踪缺失连接停止的位置。
| 术语 | 简单英文含义 | 为什么在这里很重要 |
|---|---|---|
| 🔄 NAT | 在网络边界之间转换地址。 | 它让私有设备共享公共IPv4连接。 |
| 🏢 CGNAT | ISP运营的NAT在订户之间共享。 | 客户无法管理其上游映射。 |
| 🌐 公共IPv4 | 在公共IPv4互联网上可路由的地址。 | 它可以提供互联网可达的边缘。 |
| 🏠 私有IPv4 | 在本地网络内使用的RFC 1918地址。 | 它不是全局路由的。 |
| 👥 共享地址空间 | 与100.64.0.0/10关联的提供商空间。 | 它是特殊用途空间，不是RFC 1918空间。 |
| 📡 路由器WAN/互联网地址 | 路由器外向接口上的地址。 | 它不一定是公共的。 |
| 🚪 端口转发 | 一条规则将选定的入站流量通过NAT边界发送。 | 它仅在您可以配置的边界处工作。 |
| 🌍 公共边缘 | 接受新互联网连接的可达点。 | CGNAT将此点移动到ISP网络中。 |
RFC 6888定义了运营商级NAT（CGN）——也称为大规模NAT（LSN）——作为提供商端功能，让多个订户共享一个IPv4地址。订户不管理它。”运营商级”描述的是位置和规模，而不是更高的质量。
所有权边界如下所示：
YOU CONTROL ISP CONTROLS
device → home router / NAT → ISP CGNAT → shared public IPv4 → internet家庭路由器控制客户的本地网络。ISP的CGN将订户连接映射到其共享的公共地址。正常浏览仍然有效，因为设备启动对话，两个转换层都可以跟踪回复。
将公共IPv4地址视为建筑物的街道入口，将端口视为对讲机。您的路由器是内部接待台。CGNAT添加了由许多客户共享并由ISP运营的外部接待台。端口帮助外部接待台跟踪活跃对话；它们不会给每个客户提供对共享地址上每个对讲机的永久所有权。
ISP使用这种设计是因为全局可路由的IPv4空间受限，IPv6过渡仍未完成。区域空闲池实际上已耗尽，尽管现有地址仍可以转移和重复使用。CGNAT通过共享稀缺地址来保持IPv4兼容性。IPv6提供更大的长期地址空间，但它在任何地方都不是端到端可用的。
NAT vs 双 NAT vs CGNAT
决定性的问题不是”我看到多少个盒子？”而是”翻译发生在哪里，谁可以改变它？”
| 模型 | 翻译发生的位置 | 谁控制它 | 公共 IPv4 的位置 | 用户可以改变的内容 |
|---|---|---|---|---|
| 普通家庭 NAT | 一个客户路由器翻译 LAN 地址。 | 客户或本地管理员 | 通常在该路由器的 WAN 端 | 本地转发和防火墙规则 |
| 本地双 NAT | 两个客户端网关依次翻译。 | 客户或站点管理员 | 在外部本地网关上 | 两层，或通过桥接/AP 模式的拓扑 |
| CGNAT | ISP 翻译器为多个订户服务。 | ISP | 在提供商网络内部 | 家庭路由器，而不是必需的 ISP 映射 |
📝 注意：当存在家庭路由器时，CGNAT 通常会导致两个 IPv4 NAT 层，但”CGNAT”命名 ISP 运营的功能，而”双 NAT”仅描述拓扑。
该所有权区分改变了您可以修复的内容。使用两个本地网关，您可能能够使用桥接/AP 模式或配置两层。提供商翻译器位于这些控制之外，某些 CGNAT 设计根本不包括第二个客户运营的翻译器。
控制台标签如”开放”、”中等”或”严格 NAT”是分开的。它们总结了该平台的连接行为；它们不能识别谁拥有翻译器或证明 CGNAT 的存在。
为什么CGNAT后的端口转发失败
出站流量有效是因为每个转换器创建状态：一个临时记录，将内部流链接到外部地址和端口。当您的设备启动请求时，家庭路由器和ISP CGN都会记录它，允许匹配的回复返回。
新的入站连接没有这样的状态。它首先到达ISP的共享公共IPv4，其中CGN没有特定于订户的映射：
OUTBOUND WORKS
device → home NAT [state created] → ISP CGN [state created] → internet
device ← home NAT [state match] ← ISP CGN [state match] ← reply
NEW INBOUND CONNECTION STOPS
outside user → shared public IPv4 → ISP CGN
X — no subscriber mapping
home router is never reached这就是CGNAT端口转发失败的原因。您的家庭路由器规则可能有效，但它属于内部接待处。更改该接待处的访客列表无法告诉ISP的共享外部接待处哪个订户应该接收意外访客。数据包永远不会到达您的规则。
无法到达的家庭端的反向代理不会改变这一点。它可以在请求到达后组织它们，但它无法创建缺失的路由。反向隧道——或在可到达边缘的代理或中继——是不同的，因为私有端首先建立出站路径。
如何判断您是否在 CGNAT 后面
按以下顺序使用证据：
- 禁用 VPN 和代理。关闭任何改变流量公网地址的工具。
- 识别面向 ISP 的网关。
- 比较两个地址。WAN 或 Internet IPv4 地址，然后同时使用外部服务查看您的公网 IPv4。
❗ 重要：WAN 和公网地址之间的不匹配证明存在上游转换边界，但不一定自动表示这是 CGNAT。仅从直接连接到 ISP 的网关做出此推断。
- 解释结果。
- 100.64.0.0/10—100.64.0.0 到 100.127.255.255—范围内的 WAN 地址是强有力的 CGNAT 证据。RFC 6598 为提供商使用保留了这个不可全局路由的 共享地址空间；它不是 RFC 1918 私有空间。
- 10.0.0.0/8、172.16.0.0/12 或 192.168.0.0/16 中的地址也表示非公网 WAN，但它可能属于另一个本地路由器。
- 不同的 WAN 和公网地址表示上游转换。匹配的全局可路由地址使该路径上的普通 IPv4 CGNAT 可能性大大降低。
- 排除本地原因。
- 该服务侦听其 LAN 地址，而不仅仅是 localhost。
- 主机防火墙允许预期的端口和协议。
- 路由器规则针对当前内部地址和正确的 TCP/UDP 选择。
- 第二个本地路由器没有添加另一个转换层。
- 测试来自移动数据或另一个真正的外部网络。
- 向 ISP 确认。
CGNAT 影响的内容——以及通常不影响的内容
出站/入站分割决定了用户注意到的内容。浏览、流媒体、下载和大多数应用客户端通常正常工作。当外部系统必须启动到运营商边界后面某个东西的新连接时，问题就会出现。
直接 IPv4 托管和远程访问因此需要另一条可达路径。在私有网络上，这会影响对 NAS、CCTV 系统或内部仪表板的访问。公共网站、webhook 接收器和游戏服务器面临相同的入站要求。VPN 客户端通常有效，因为它向外连接。家庭 VPN 服务器不同，因为远程用户启动连接，所以它需要可达的入站、兼容的 IPv6 或中继或公共主机上的端点。
点对点游戏、语音和文件共享的可预测性较低。某些应用程序找到直接路由，而其他应用程序通过可达的中介使用中继。中继可能以增加延迟为代价来保持连接。当遍历失败时，应用程序可能会报告限制性 NAT 或无法连接。RFC 7021 记录了这些压力点，但并未暗示普遍失败。
共享 IPv4 地址可以将不相关的订户合并为一个声誉。一个用户的行为可能导致其他订户看到更多 CAPTCHA 或速率限制。共享地址也可能出现在黑名单上、触发同时登录限制或产生粗略地理位置。共享或变化的住宅出口进一步复杂化了期望稳定端点的业务白名单。
📝 注意：默认情况下阻止未经请求的入站 IPv4 可以减少意外暴露，但 CGNAT 不是防火墙，不能替代身份验证、更新、TLS 或访问策略。
CGNAT 不会阻止恶意出站流量。它不会保护通过另一条路径暴露的应用程序或控制谁可以登录。隧道、公共 IP 或 IPv6 路由仍然需要故意的安全控制。
五种绕过CGNAT的方法
这五个选项解决不同的访问问题。私有网格、托管隧道和VPS中继共享一个有用的模式：私有端连接向外优先。
private service → outbound mesh / tunnel link → reachable edge ← outside user在建筑类比中，你要么获得可用的街道入口，要么维护到其他地方入口的连线。
📝 注意：“绕过”是简写。这些方法不禁用运营商NAT；它们获得另一个公共边缘、使用端到端IPv6或建立由出站创建的路径。
从表格开始，然后使用下面的详细信息了解对你的设置重要的权衡。
| 选项 | 最适合 | 受众 | 客户端软件 | 协议适配 | 控制/依赖 | 主要限制 |
|---|---|---|---|---|---|---|
| 🌐 ISP公共IPv4 | 常规入站访问 | 公共或私有 | 否 | 广泛TCP/UDP | 直接客户边缘 | 可用性、成本、暴露 |
| 6️⃣ 原生IPv6 | 直接IPv6可达性 | 公共或私有 | 通常否 | 广泛 | 基于标准 | 兼容性不均；防火墙/DNS工作 |
| 🔗 网格VPN | 可信远程访问 | 私有 | 通常是 | 广泛私有IP | 身份/控制平面依赖 | 非匿名公共访问；中继差异 |
| 🚇 托管隧道 | 网络发布或受控应用 | 公共网络或私有 | 因模式而异 | 提供商相关 | 托管提供商边缘 | 限制和提供商依赖 |
| 🖥️ VPS中继/公共主机 | 灵活端点或可移植工作负载 | 公共或私有 | 源隧道组件 | 可能广泛TCP/UDP | 最高自管控制 | 管理、带宽、延迟 |
1. 向ISP请求公共IPv4
对于常规入站IPv4，当ISP提供时，这通常是最简单的选项。动态公共IPv4适用于更新的DNS。为稳定的允许列表、记录或VPN端点选择静态公共IPv4。检查可用性和成本，并保护你直接暴露的任何服务。
2. 使用原生IPv6
IPv6流量避免IPv4 CGNAT。直接访问需要全局前缀、IPv6监听器、合适的防火墙规则、必要时的正确DNS以及远程端的IPv6。它不帮助仅IPv4客户端或自动暴露服务。
3. 构建私有网格
网格VPN如Tailscale适合可以运行经过身份验证的客户端软件的可信用户和设备。它尝试直接连接，然后可能回退到对等体或DERP中继，带有一些性能成本。它不适用于匿名访问者或公共webhook。
4. 通过托管出站隧道发布
如Cloudflare Tunnel的服务将源连接向外连接到提供商边缘。这适用于网络应用、API、演示和受控私有访问。公共HTTP访问者可能不需要客户端，而私有或非网络模式可能需要提供商软件。协议支持、身份、限制和边缘可用性仍然是提供商依赖。
5. 使用VPS作为公共边缘——或移动工作负载
VPS可以通过来自家庭的出站隧道中继流量，或在不需要家庭LAN数据或硬件时直接托管应用。这提供稳定的端点和广泛的TCP/UDP控制。你负责安全、监控、隧道可靠性、带宽、滥用处理和增加的延迟。适当选择的AlexHost VPS可以填补这个角色，受其公共寻址和网络策略的约束。
哪个选项适合您的使用场景？
按顺序提出四个问题来选择架构：
- 访问权限仅限于受信任的人员和设备，还是向公众开放？
- 每个连接设备都能安装客户端软件并通过其进行身份验证吗？
- 该服务是基于网络的，还是需要任意 TCP/UDP 行为？
- 您更倾向于托管的便利性还是对公共网关的控制？
对于受信任的 NAS、CCTV 或管理员访问，当用户可以安装客户端软件时，使用网状 VPN。对于公共网络端点和 webhook，使用托管隧道或公共托管。如果工作负载不需要家庭 LAN，请迁移它。
对于公共 TCP/UDP，使用 ISP 公共 IPv4、VPS 边缘或所有客户端都支持 IPv6 时的 IPv6。游戏托管是特定于游戏的：检查其服务器模型、遍历支持和协议。通用隧道无法保证更好的控制台 NAT 标签。
公共 VPN 端点需要公共 IPv4、可用的 IPv6 或 VPS 主机。对于业务入口或合作伙伴允许列表，选择静态地址或受控网关，而不是共享的住宅出口。
常见 CGNAT 问题和误解
CGNAT 与双 NAT 相同吗？不相同。CGNAT 标识由 ISP 运营的多用户 NAT。双 NAT 仅表示流量跨越两个转换器。
CGNAT 总是会减慢互联网速度吗？不会。性能更多取决于提供商、应用程序以及是否涉及中继。
动态 DNS 能修复 CGNAT 吗？不能。它跟踪不断变化的地址，但无法创建上游映射。一旦您拥有可达的动态公共地址，它就会有所帮助。
普通 VPN 能绕过 CGNAT 吗？通常不能。仅当 VPN 服务提供入站转发、私有覆盖或其他可达的入口点时才有效。
IPv6 能解决它吗？能，当两端都有 IPv6 且防火墙和 DNS 允许时。它对仅支持 IPv4 的客户端无帮助。
100.64.0.0/10 是私有空间吗？它是特殊用途、非全局可路由的共享地址空间。它不同于普通本地网络中使用的 RFC 1918 私有范围。
CGNAT 是安全功能吗？不是。其入站行为不是安全策略。您仍然需要防火墙规则、身份验证、补丁、加密和谨慎的暴露管理。
底线：修复缺失的公共边界，而不仅仅是路由器
打开的 NAS 或游戏服务器可能有正确的本地规则，但仍然会超时，因为连接在 ISP 边界处停止。更多的路由器更改无法修复路由器从未接收到的路径。从受众开始：对于受信任的私有访问使用网格，而公共访问需要公共 IPv4、有效的 IPv6、托管隧道或受控主机。首先检查 ISP 的选项，然后仅当托管工作负载或中继适合设计时才考虑 AlexHost VPS。
