双重NAT是什么意思？端口转发白配、联机NAT3、远程走中继，祸根多半是它

我家有两条宽带，电信主线上网，白送的移动线专门喂监控和下载这些脏活。上个月出差，酒店里点开监控App看家里的猫，画面卡成幻灯片，一帧一帧往外蹦；可我人在家的时候，同样这个App，丝一样顺。同一台摄像头，同一个App，差的只是我在不在家。回家翻路由器后台，移动线那条WAN口IP赫然是100.89开头——这事我才彻底想明白：我家外面叠着两层NAT，进来的路早就被堵死了。

先说清一层NAT：它是正常配置，不是故障

NAT干的是翻译官的活：全屋设备用各自的内网地址，出大门时统一换成一个公网IP，回来再按端口号把包裹分回各家。这套机制家庭宽带用了二十多年，NAT类型那篇里我拿门禁打过比方，这里不重复。关键就一句：一层NAT是标配，你家路由器天天在做，啥事没有。

出事的是层数。一层翻译官，回来的包裹到他手里能对上号；两层翻译官，里面那个翻完递给外面那个，外面那个翻完才递进公网。你主动往外连（刷视频、下载、逛淘宝），包裹是「由内向外」建立的，两层都认账，一切正常。可外面的包裹想主动进来找你（远程看监控、连家里NAS、游戏联机建房间），走到最外层翻译官那儿，他翻自己的账本，没有这条记录——包裹当场被扔掉，根本到不了你家门口那层。

这就是我家监控的病根：在家看，流量走局域网，压根不出门；出门看，得从公网进来，死在最外面那层。同一个App两种命运，分界线就在「出得去」和「进得来」是两条完全不同的路。

两层NAT的三种来路，你家多半是前两种

谁在你家路由器外面又压了一层？我见过的就三种来路。

来路一：光猫路由模式叠自家路由器。装机师傅默认把光猫设成路由模式，由光猫拨号、发IP，你家路由器接上去，WAN口拿到个192.168开头的地址，再给全屋发一轮IP——两层NAT齐活。我表姐家去年装修完就是这格局：光猫路由模式在前面，自己的路由器在后面，全屋四十来台设备活得好好的，因为它们全是往外连的。

来路二：运营商CGNAT。就算你家光猫改了桥接、路由器亲自拨号，拿到的也可能不是真公网IP，而是100.64开头的运营商大院内网地址——几十上百户共享一个公网出口，运营商在机房里替所有人再做一层NAT。IP地址那篇讲过这个段位，我家移动线就是典型，电信线倒是真公网，同一屋檐下两条线两种命。

来路三：房东或楼宇网络。租的房子，墙上网线插上就能上网，进来就是192.168段的IP？前面还有房东那个路由器，甚至整栋楼一个出口。这种来路租房党最常见，城中村宽带那篇里的二级运营商，本质也是这一类。

两步判断，五分钟知道自己中没中招

不用猜，两步就能查个水落石出。

第一步，进自家路由器后台看WAN口IP。状态页那栏怎么看，状态页判读那篇有详细讲。看到192.168、10、172.16到31这些开头，来路一实锤，前面有光猫在管事；看到100.64到100.127开头，来路二实锤，你在运营商大院里。

第二步，用手机流量查出口IP，跟WAN口对。注意一定是手机关掉WiFi走流量去查，连着家里WiFi查等于隔靴搔痒。两个IP对得上，恭喜，单层NAT，外面的世界对你门户大开；对不上，说明WAN口外面还有翻译官在替换地址。这一步的完整操作和话术，公网IP自查那篇写得最细。

顺手说个CGNAT的隐性罪状：上百人共享一个公网IP，主流网站的风控会把这堆流量当成异常，动不动弹人机验证让你点红绿灯。你一个人在家规规矩矩上网，验证码却比谁都勤快，八成也是共享IP惹的。

最先遭殃的四样东西

双层NAT不管你刷视频打游戏下载，专挑「要从外面进来」的应用下手。

端口转发白配。规则设得再标准，服务端测试全绿，包死在最外层翻译官手里，表现和没设一模一样。端口转发和DMZ那篇的读者如果踩过「规则生效就是连不上」，九成是这病。

UPnP开了个寂寞。这是双层NAT里最隐蔽的一个。UPnP的原理是设备朝「直连的那个网关」喊一嗓子开窗，可这个喊话只在本地网段里传，外面那层路由器根本听不见。于是路由器的映射列表里明明显示添加成功，外面照样进不来——UPnP那篇我提过一嘴「光猫路由模式下开关了个寂寞」，病根就在这。

游戏联机判NAT3。PS5、Switch的NAT类型检测，两层NAT叠着基本就是严格档，搜不到房间、语音连不上是常态，机理NAT类型那篇讲透了。

远程访问老走中继。打洞这种事，两边只要有一边在双层NAT后面，成功率就掉到地板，软件不声不响降级走中继，速度贴着中继上限爬。NAT打洞那篇讲过对称NAT为什么难打，双层NAT比它还多一层墙。

解法按来路挑，别一上来就动光猫

确诊了来路，解法就三分天下。

来路一是最好治的，因为两层都归你管。三选一：最干净是光猫改桥接，路由器亲自拨号，公网IP直接落在路由器上，值不值得改、改完的善后，桥接决策那篇有完整账本；不想动桥接，进光猫后台把DMZ指到路由器，一层放行全通过，光猫DMZ那篇手把手；或者反过来，把自家路由器改成AP模式交出NAT权，让光猫一个人说了算，旧路由改AP那篇的操作直接套用。我表姐家最后走的桥接，孩子的游戏机NAT类型当场从严格跳到中等。

来路二得跟运营商打交道。第一选择打客服要公网IP，电信家宽多数地方电话里就能办，话术照公网IP那篇抄就行；要不来，走IPv6，现在家宽v6基本免费默认下发，两头都支持v6的应用能绕开v4的NAT直接连，光猫和路由器两侧怎么开，光猫IPv6那篇和小米IPv6那篇一个管一头；v6也不通的，老老实实上隧道中继，Tailscale、frp这类，速度认命。

来路三最没辙。光猫和出口都在房东手里，要超管密码不现实，基本只剩IPv6碰运气和隧道中继两条腿。租房党搞远程访问，我劝直接从隧道方案起步，别在端口转发上浪费晚上。

两种人完全不用折腾

说句公道话，双层NAT不是病，是省钱省出来的常态——运营商就是靠它把紧张的公网IPv4摊薄给每家每户的。你要是只刷视频、逛淘宝、打游戏下游戏，出向的连接两层NAT全都放行，体感和单层没有任何区别，查出来是双层也别慌。

真要动手的是这些人：要在公司连家里电脑的、NAS挂公网远程的、游戏联机老搜不到房间的、监控远程卡成幻灯片的。先花五分钟走完上面两步判断，确诊来路再按表抓药，别路由器重启一下午、端口转发重设八遍，那都是给错误的层做手术。

我家那摊子事的收尾倒简单：监控交换机从移动线挪回电信线，出门远程照样用子码流，卡成幻灯片的日子再没回来过。移动线继续喂下载——反正下载是往外拉的，两层NAT一点不耽误它干活。