你有没有认真想过一个问题你家路由器背后挂着手机、笔记本、电视盒子还有几台智能家居设备可运营商分配给这条宽带的公网IP地址通常只有一个。这么多设备同时上网服务端看到的是同一个IP返回的数据包又是怎么精准地回到每台设备上的这个问题拆开来看其实是计算机网络里两个核心机制在合奏一是路由决定数据包在网络里走哪条路二是NAT决定数据包在过边界时地址怎么被改写。一个管“怎么走”一个管“在哪换装”两者配合才能把看似不可能的事情变成日常。这是计算机网络系列第四篇。前三篇我聊过物理层与链路层、IP编址基础、分片与重组这一篇把网络层里最贴近实际运维的两个话题——路由选择与NAT地址转换——放在一起展开。适合正在学计网的学生、准备面试的开发者以及家里或公司网络出问题想自己动手排查的朋友。读完你会清楚路由表到底怎么选路NAT为什么存在又怎么工作以及当内外网通信出问题时该按什么顺序去查。1. 三层设备的分工路由表才是真正的“交通大脑”1.1 二层交换和三层路由到底差在哪儿很多人一开始会把交换机和路由器搞混觉得它们长得差不多、都能“转发数据”。其实它们工作的层次完全不同。交换机工作在二层靠MAC地址转发表把数据帧从某个物理端口送到同一个广播域里的另一个端口路由器工作在三层靠路由表把IP数据包从某个接口送往下一跳。打个比方MAC地址是同一栋楼里的“门牌号”IP地址是跨城市出行的“目的地地址”。交换机只负责在你所在的那栋楼里把信送到指定房间而路由器负责把信从一个城市送往另一个城市。数据包在网络上传输每经过一台路由器路由器都会拆开二层帧头、看到IP目标地址然后查路由表决定“下一步交给谁”再封装新的帧头发往下一段链路。这里最关键的一点是路由转发是逐跳进行的不是端到端的。也就是说数据包从源到目的中途会经过多台路由器每一跳都要重新做一次选路决策而它自己并不知道完整路径。你可以类比成坐长途汽车换乘每个站点的工作人员只负责告诉你“下一站怎么走”至于你最终到哪他不关心只关心你手里的票面信息——也就是目标IP。1.2 路由表的三类来源直连、静态、动态路由表里那些表项从哪里来归纳起来无非三类。第一类是直连路由。只要你在路由器接口上配置了IP地址且接口状态正常设备就会自动生成对应网段的路由条目优先级最高完全不需要人工干预。第二类是静态路由由管理员手动配置告诉路由器“去往某个网段下一跳交给谁”。第三类是动态路由路由器之间运行某种路由协议比如RIP、OSPF互相学习、自动维护路由表。三类来源各有适用场景我用一个表格整理它们的差异来源产生方式优点缺点典型场景直连路由接口配置IP后自动生成可靠、零维护只覆盖路由器直连的网段所有三层设备的必经之路静态路由管理员手动配置稳定、不占带宽、可控拓扑变化需人工调整小型网络、出口默认路由动态路由路由协议自动学习适应拓扑变化、扩展性好占用CPU和带宽、配置复杂中大型企业网、数据中心静态路由并不是“过时”技术恰恰相反几乎所有网络出口都离不开它。比如一家公司路由器要访问互联网运营商侧网关地址是固定的这时候配一条静态默认路由就够了完全没必要为了访问外网跑一套动态路由协议。动态路由解决的是“内部网络复杂多变、链路可能故障切换”的问题两者各管一段不是谁替代谁的关系。1.3 默认路由一张兜底的安全网默认路由在路由表里写作0.0.0.0/0意思是有地址匹配不上任何更精确条目的包全都交给下一跳处理。它的优先级最低但必不可少。企业出口路由器的公网方向几乎都会配置一条默认路由指向运营商网关这样内网访问任意公网地址时路由器查表没有更精确匹配就会顺着默认路由把包交给上游。配置静态默认路由的通用命令格式很直观不同厂商关键字略有差异ip route 0.0.0.0 0.0.0.0 203.0.113.1这条命令的含义是所有目标地址下一跳都交给203.0.113.1。对于只有一条出口链路的场景这是标准写法。不过我要提醒一句路由是双向的光配发送方向不够。很多“能ping通但访问不了”的怪问题本质是回程路由缺失。数据包出去时经过路由器A、B、C回来时C、B、A必须都有返回目标网段的路由任何一个环节的回程缺失最终表现就是“出得去、回不来”。排查网络时养成一个好习惯第一件事就看两端路由表确认来回两条路的表项都在。2. 最长前缀匹配与管理距离路由表选路的完整规则2.1 一个目标地址在路由表里命中多条路径时怎么办先看一个容易犯迷糊的场景。假设路由表里有两条条目192.168.1.0/24下一跳192.168.1.254192.168.1.64/26下一跳192.168.1.253现在有一个目标地址192.168.1.80的包要转发。这个地址同时匹配两个条目该走哪条答案是最长前缀匹配谁的子网掩码更长、覆盖范围更细谁就获胜。/26掩码比/24长所以匹配192.168.1.64/26。原因也不难理解较长的前缀代表更精确的定位就像快递地址写着“北京市朝阳区某街道某小区某栋”比只写“北京市朝阳区”更能确定派送方向。更进一步如果你的路由表里有一条/32的主机路由比如192.168.1.66/32那么任何发往这台的流量都会优先命中它因为它是最精确的那个点。看来平时调接口、诊断问题临时加主机路由就是利用了这个规则。真实路由器并不是把所有表项一条一条遍历比较那样太慢。高性能设备通常用前缀树Trie之类的结构做加速查找但无论底层怎么优化决策结果都严格遵循最长前缀匹配原则。面试时如果问你“路由表查找规则是什么”答最长前缀匹配是基础能把这个原则在复杂表中如何生效讲清楚才显得真正理解。2.2 管理距离解决的问题多条来源的路由谁更可信最长前缀匹配解决了“同一条路由内怎么选”但还有另一类问题同一个目标网段直连、静态、动态可能同时告诉路由器不同的走法这时听谁的这就轮到管理距离Administrative Distance出场。它是一个优先级数值比如直连路由为0静态路由常见取值1OSPF常见取110RIP常见取120。数值越小可信度越高。直连最可信因为那是设备自己身上长出来的网段OSPF和RIP之间也有差异不同厂商默认值可能微调但排序逻辑一致。管理距离的关键作用在于路由器先比较来源可信度而不是直接比较度量值。因为直连路由用“接口状态”判断好坏OSPF用带宽开销RIP用跳数度量体系完全不同没法直接对比。只有先通过管理距离确定采用哪个来源来源相同的条目再比度量值才有意义。我见过不少人把这两个概念混在一起其实记住一句话就够了先比谁更可信管理距离再比谁更近度量值。路由来源常见默认管理距离说明直连路由0设备自动生成最可信静态路由1人工配置可信度仅次于直连OSPF110链路状态协议常见实现取值RIP120距离向量协议常见实现取值2.3 度量值只在同来源之间比较假设有两条OSPF的路由都通向同一目标网段这时候管理距离已经分出高下需要比的是度量值。OSPF的cost默认与链路带宽成反比一般来说带宽越大、开销越小RIP则简单粗暴跳数越少越好。有人会问静态路由的“1”是管理距离那静态路由有没有度量值也有通常默认按0算但因为是人工指定、不存在多条动态学习的问题一般不需要理会。动态路由则必须认真对待度量值因为它直接决定了等价负载均衡之外的主备路径选择。这里还有一个实际中常踩的坑在公司路由器里同时配了静态路由和OSPF目标是同一个内部服务器网段。如果静态路由下一跳写错而管理距离比OSPF小路由器会一直优选静态路由导致流量全部失败。排查时把管理距离调大一点或者干脆删除冗余静态路由故障立刻消失。看路由表现场重点关注每个条目前面的来源类型和管理距离能少走很多弯路。3. 动态路由协议的两条路线RIP的“道听途说”与OSPF的“全知视角”3.1 距离向量RIP靠邻居传话简单却迟钝RIP是最经典的距离向量协议。它的工作机制可以概括成一句话每台路由器只跟自己直连的邻居交换路由信息我听邻居说“我能到达某个网段距离是X”我就把这条记下来距离加1然后告诉下一家。这种算法实现非常简单但代价是收敛慢、有环路风险。RIP默认每30秒广播一次完整路由表一个链路故障要经过多轮更新才能让全网都知道变化在大型网络里非常迟钝。为了限制环路危害RIP规定最大跳数为1516跳算不可达。也就是说网络直径超过15台路由器RIP就无能为力了。为什么说它是“道听途说”因为每台路由器都没有全网地图只知道自己邻居说的消息而这些消息可能来自一个不可靠的传话链。RIP也有一套防环机制比如水平分割、毒性反转但它本质上是靠“限制传播半径定期更新”来兜底效率远远比不上后来者。话说回来RIP在今天的生产环境里几乎绝迹但你必须学它因为它是理解“距离向量算法”的最小模型很多教材和面试题用它讲清路由环路是如何形成又如何避免的。理解了RIP再看OSPF会豁然开朗。3.2 链路状态OSPF全网算地图收敛快、链路开销敏感OSPF是链路状态协议的代表设计哲学和RIP完全不同。每个OSPF路由器会收集自己与邻居之间的链路状态生成一个叫LSA的描述然后通过洪泛机制发给全网所有路由器。最终每台路由器手里都有一份相同的链路状态数据库也就是全网的“地图”。拿到全网地图之后每台路由器独立运行SPF最短路径树算法以自己为根计算出到达所有网段的最优路径。想想这个区别RIP是邻居告诉你怎么走OSPF是每个人都有一张完整地图、自己算路。这就是“全知视角”的含义。OSPF的优点非常突出收敛速度快链路状态变化能立刻洪泛通知全网支持区域的层次化设计大型网络可以划分多个区域减轻压力度量值基于带宽开销选路更科学。代价是对设备CPU、内存和网络带宽有一定要求配置复杂度也明显高于静态路由。OSPF还有一个容易理解和记忆的点就是区域0。所有非骨干区域必须与骨干区域相连否则路由学习会出现问题。很多初学者配完OSPF发现路由学不全十有八九是区域规划没搞对或者两台路由器之间的区域号不一致。3.3 自治系统层面还有BGP选路逻辑换了一套企业内部网络通常用OSPF或静态路由就够用了但互联网层面的路由完全不是一回事。运营商之间、企业多出口接入时用到的是BGP。BGP属于路径向量协议它不再以跳数或带宽作为选路依据而是基于一组路径属性。最核心的路径选择逻辑里包含“AS路径长度”也就是数据包要穿越多少个自治系统AS路径越短越优。此外还有本地优先级、MED值等一系列属性选路规则极其丰富也在很大程度上服务于运营商的策略控制和流量调度。很多做业务运维的朋友可能一辈子不会直接配置BGP但理解它的存在和定位很重要OSPF解决的是同一个自治系统内部的路由BGP解决的是自治系统之间的路由。两者的边界就是网络规模的分水岭。4. NAT的诞生背景与地址变换核心逻辑4.1 为什么IPv4必须靠NAT续命地址枯竭与私有网段IPv4地址空间理论上有43亿个地址。放在互联网诞生之初这个数字看似充裕但联网设备数量早就远远超过这个规模。手机、电脑、服务器、智能设备每一台都需要至少一个IP地址如果再算上虚拟机、容器需求早就膨胀到难以想象。为了缓解地址压力标准里划出了一批私有IPv4地址段10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。这些地址不能直接在公网路由只能在私有网络内部使用。家庭宽带里常见的192.168.1.x就属于这一类。另外还有一个运营商级共享地址段100.64.0.0/10是运营商自己部署大内网时用的后面排查NAT问题会再碰到它。私有地址的大量使用让NAT成了必需的基础设施。如果设备直接向运营商申请一个公网IP暴露在互联网上安全风险大不说地址资源也扛不住。于是“内网用私有地址出口统一转换成公网地址”成了事实标准这个转换过程就叫NAT。NAT的厉害之处在于它用端口换地址。一台内网设备访问外部网络时NAT设备不仅改写源IP还会改写源端口。16位的端口号足以支撑大量并发会话一个公网IP理论上可以同时维护数万个“连接记录”对普通家庭和小型办公场景绰绰有余。4.2 三种NAT类型静态、动态、PAT根据转换方式的不同NAT主要分三类。我用表格把它们拆开NAT类型转换方式地址节省能力典型场景静态NAT1个公网IP固定映射1个内网IP完全不节省内网服务器对外提供服务动态NAT公网IP地址池与内网IP临时绑定多对少时可节省少量内网设备访问外网较少使用PAT多个内网IP共享1个公网IP靠端口区分极度节省最常用家庭路由、企业出口上网静态NAT最容易理解就是一张写死的对照表公网IP A永远对应内网IP B。它的价值不是节省地址而是让外网能够稳定访问内网服务器。动态NAT则是有一组公网地址池内网设备访问外网时临时占一个用完后释放。它只能做到多对少并不真正省钱实际使用率不高。真正扛起NAT大旗的是PAT也叫端口复用。家里那台99块钱的路由器默认上网模式就是PAT所有内网设备出站时源IP都改成路由器WAN口的公网IP源端口各自分配一个不重复的端口号。外部服务器回复时NAT设备根据“目的IP 目的端口”查会话表反查出该把包转给哪个内网设备。举个例子你的手机用源端口12345访问某网站电脑用源端口23456访问同一个网站。到网站那边看来源都是同一个公网IP只是端口不同但NAT设备记住了这两条映射回复的包分别被翻译成手机自己的IP和电脑自己的IP最终正确送达。这就是PAT能“一个IP管一大家子”的秘密。4.3 NAT会话表为什么外网主动连不进来NAT能准确指挥回程流量靠的是会话表核心字段有几项比如协议类型、源IP、源端口、目的IP、目的端口。出站时建表回程时查表查不到就丢弃或无法翻译。正是因为NAT会话表通常是“出站方向先建、回程方向用”外网主动向内网发起连接就非常困难。外部主机发来一个包目标地址是NAT设备公网IP的某个端口如果表里没有对应条目包到不了内网设备。这其实是NAT给内网带来的最大好处默认情况下外部根本够不到内部设备安全性天然提升了一大截。但想对外提供服务时就麻烦了。解决方案叫端口映射也叫静态NAT或目标NAT。管理员手动在NAT设备上加一条规则公网IP的某个端口固定转给内网某台服务器的某个端口。这条规则相当于在会话表里预置了常驻条目外部主动访问才能进来。家用路由器里常见的“端口映射”或“虚拟服务器”功能本质就是这个。理解“NAT表是主动建立的”这一点对后面理解P2P打洞、家庭监控外网访问失败这类问题有很大帮助。5. 在真实设备上配置NAT从PAT上网到端口映射5.1 基础拓扑与接口归属inside跟outside不能搞反配置NAT之前先把概念捋清楚。一个做NAT的设备至少有两个方向连接内网的接口叫inside连接外网或运营商方向的接口叫outside。你把自己想象成楼下的收发室保安从楼内出来的信件inside方向要改回邮地址从外面送来的信件outside方向要查表分发到具体房间。搞清楚哪个口朝内、哪个口朝外是配置NAT的第一步。一个最常见的家用/小型办公拓扑是这样的运营商网关 --- 路由器(WAN口) 路由器(LAN口) --- 交换机 --- 多台主机在路由器上LAN口配置内网私有地址如192.168.1.1/24WAN口要么直接从运营商获取动态地址要么手工配置运营商给的固定地址。下面用贴近通用商业设备的CLI语法做演示不同厂商关键字会有差异但思路一模一样。接口IP和方向标记的通用写法interface GigabitEthernet0/0 ip address 192.168.1.1 255.255.255.0 ip nat inside interface GigabitEthernet0/1 ip address 203.0.113.5 255.255.255.240 ip nat outside这里假设G0/0是内网口G0/1是外网口。把ip nat inside和ip nat outside标对后续NAT规则才有正确的处理方向。很多排查到深夜的故障最后发现只是inside和outside方向标反了NAT完全没按预期工作。5.2 出站上网配置ACL匹配私网段端口复用公网IP配置PAT上网需要两步第一步用一个ACL把内网哪些网段允许做NAT翻译给圈出来第二步在外网接口上启用端口复用。ACL规则很简单匹配整个内网段放过去access-list 1 permit 192.168.1.0 0.0.0.255然后在外网接口上启用PATip nat inside source list 1 interface GigabitEthernet0/1 overload这条命令可以分几段理解inside source list 1表示从inside接口进来的、匹配ACL 1的流量interface GigabitEthernet0/1表示把这些流量的源地址转换成外网接口的地址overload就是开启端口复用也就是PAT模式。配置完成后内网所有设备访问外网时源地址都会被改写为203.0.113.5并通过不同端口区分会话。如果是动态获取公网地址的宽带上网场景公网地址会变化这种写法的好处是无论地址怎么变NAT总是自动采用出接口的当前地址完全不用手动跟地址走。现实中绝大多数家庭和小微企业就是靠这一条命令完成上网。5.3 对外提供服务静态端口映射的配置与排查如果内网有一台服务器IP是192.168.1.10上面跑了Web服务端口8080同时它的内网地址不可被外部直接访问就需要在NAT设备上加静态映射公网IP的80端口固定翻译到内网192.168.1.10的8080端口。通用写法如下ip nat inside source static tcp 192.168.1.10 8080 interface GigabitEthernet0/1 80如果公网是固定IP的写法则可以更直接ip nat inside source static tcp 192.168.1.10 8080 203.0.113.5 80配完之后外部用户访问http://203.0.113.5路由器会把流量导向内网服务器的8080端口。这一步做完还要确保路由方向正确服务器回包时必须认得去往NAT设备的路径同时NAT设备要根据会话或静态映射把源地址改回公网IP这个回程翻译是系统自动完成的但前提是底层路由正确。实际排查时我习惯按这个顺序来先看外部是不是真的能到达NAT设备的公网IP。可以在外网环境用ping或在线端口检测工具确认。再看NAT表里有没有对应静态映射。命令通常是show ip nat translations有静态条目说明映射已生效。最后看服务器本身防火墙是否放行对应端口。经常出现NAT配置全对、外部探测超时结果发现是服务器本地防火墙把端口拦了。5.4 运维视角NAT会话表、老化时间与性能注意点NAT配置完不代表一劳永逸日常维护里还有几个容易踩的坑。第一个坑是会话表老化时间。不同协议的NAT条目老化时间不一样TCP连接跟连接状态挂钩连接断开后条目很快清理UDP没有连接状态只能靠超时清理常见默认几十秒到几分钟不等。如果应用层用了UDP且数据间隔较长NAT表可能已经老化外部回包找不到映射导致应用表现成“时好时坏”。第二个坑是端口耗尽。一个公网IP理论上有65535个端口但实际设备还会预留、统筹管理常见并发会话数大概在几千到几万级。企业出口如果只有一两个公网IP而内网终端数量大、大量使用短连接高峰时段很可能把可用的源端口和会话表项全部占满新用户连接直接被拒。这种问题光看流量不大但NAT命中率会突然下降现场抓包能看到大量连接建立失败。第三个坑是性能瓶颈。NAT设备要维护大量状态纯软件路由器在转发大流量时CPU占用会明显飙升入站和出站都有处理损耗。有条件的情况下让NAT、防火墙这类状态化设备做“边界防护地址转换”内部高速转发交给三层交换机是更合理的架构。再看NAT状态的验证命令也很重要不同平台命令不同但下面几条通用习惯值得掌握show ip route show ip nat translations show ip nat statistics第一条看路由方向第二条看NAT映射条目第三条看转换统计和命中情况。排查网络故障的顺序建议是先确认路由对不对再确认NAT表转没转最后抓包定位。乱猜不如按顺序查网络问题大多都能快速缩小范围。6. NAT的副作用与网络演进P2P打洞和IPv6过渡6.1 端到端模型被打破后P2P应用怎么自救互联网最初的设计是端到端模型任何一台主机都可以直接向另一台主机发起通信。NAT的出现让这个模型大打折扣因为内网设备没有公网地址外部无法主动连接它。于是所有依赖双向连接的应用都受到了影响最典型的就是P2P下载、视频通话、以及很多即时通讯。以两个都在NAT后面的用户直接视频通话为例双方的设备都想主动向对方推流但彼此都没有公网IP直接连肯定连不上。实际方案是借助一个公网“中间人”服务器做协调这就是P2P打洞的核心思想。具体过程大致是这样的A和B都先主动连接公网服务器SS看到A的公网地址-端口映射、B的公网地址-端口映射然后把对方的映射信息分别告诉A和B。接着A向B的公网地址发包B向A的公网地址发包。关键在于这两个包分别经过A、B各自的NAT设备时NAT设备会主动新建一条会话条目之后来自对方的包就能顺着新表项进到内网。整个过程像是在NAT设备上打了个洞所以叫打洞。这是NAT时代必须掌握的一个技巧内网设备想被外部访问要么凭端口映射预置规则要么靠打洞动态建表。公有云、SD-WAN、远程办公里大量依赖类似技术。6.2 锥形NAT与对称型NAT打洞成功率的决定性因素同样是打洞有人一次成功有人捣鼓半天失败区别往往在NAT类型上。按映射和过滤行为NAT可以分成几种类型。我用表格列出常见分类和打洞难度NAT类型映射行为过滤行为打洞难度Full Cone全锥内网IP:端口固定映射到同一外部IP:端口任何外部主机都能访问该映射最容易Restricted Cone限制锥同上仅允许之前收到过本机数据包的外部IP访问中等Port Restricted Cone端口限制锥同上仅允许之前收到过本机数据包的外部IP:端口访问较难Symmetric对称型每次访问不同目标地址都分配不同外部端口行为最严格很难基本打洞失败全锥NAT好比一扇装了固定门牌的大门门牌号不变、谁都能敲对称型NAT则是每次出门都换一个门牌外人根本猜不到你下一次用哪个门牌。对于做视频通话、游戏联机、P2P下载的用户NAT类型决定体验上限。你的路由器如果支持尽量选全锥或限制锥模式能显著提升联机成功率。很多“联机失败”问题排除了防火墙和网络本身后往往就是NAT类型太严格导致的。6.3 IPv6不是NAT的敌人双栈过渡期仍要懂NATIPv6的地址空间大到可以给地球上每一粒沙子都分配地址理论上每台设备都能拥有全球可路由地址彻底解决地址短缺也意味着不再需要NAT来压缩地址。NAT破坏端到端模型的问题在纯IPv6网络里会自然消失。但现实世界不是一键切换IPv4和IPv6会长期共存。绝大多数网络中IPv4流量依然经过NATIPv6流量则可能直接路由。于是出现了双栈、隧道、协议翻译等多种过渡技术其中像NAT64这样的翻译机制本质上还是在“用地址转换的思路”来解决v4和v6互访问题。也就是说哪怕未来IPv6全面普及NAT的核心思想——地址、端口的映射与翻译——依然会以某种形态存在。对普通用户而言短期内改变不了运营商和设备的NAT行为能做的是知道自己的网络处于什么状态并针对性地调整应用策略。IPv6地址如果可用很多点对点应用可以直接走v6通道绕过NAT限制这也是一种解法。我自己在调网络时习惯先牢牢记住两件事路由管方向NAT管翻译。方向错了翻译再漂亮也没用翻译没建表方向再对也回不来。排查的顺序永远是先看路由表有没有回程路径再看NAT表转没转最后才轮到抓包。尤其是家里路由器外网访问失败的问题十次里有八次不是端口映射没配而是运营商光猫上还叠着一层大内网NAT你在自己路由器上做多少映射都白搭。遇到这种情况先确认WAN口拿到的是不是公网地址再决定是向运营商申请公网IP还是直接用打洞方案绕过去。记住这个思路网络排障能少走很多弯路。