端口转发和 PAT

最常见的 NAT 形式是PAT（端口地址转换），也称为 NAT 过载。它通过使用端口号区分不同的通信，让数百台设备共享一个公共 IP 地址。

家庭路由器执行的就是这种操作：路由器后的每台设备都通过一个公共地址访问互联网，仅通过端口号加以区分。

每个 TCP 或 UDP 连接都有一个源端口和一个目标端口。PAT 会为公共地址上的每个内部连接分配唯一的源端口，因此每条通信流都可以通过公共 IP 与端口的组合唯一确定。

当某个端口的回复到达时，路由器会查询自己的表，找出它对应的内部设备和端口，然后将其正确交付。

PAT 会维护一张表，将每台内部设备的 IP 和端口映射到唯一的公共 IP 与端口组合。例如，两台电脑在内部都使用 50000 端口时，会在外部分别获得不同的转换端口。

正是通过这种映射，一个公共地址才能承载数千个同时建立的连接而不会混淆，因为每条通信流都有自己唯一的外部端口号。

PAT 对出站连接非常有效，因为出站连接由内部设备发起。但入站连接怎么办呢？当互联网上有人想访问您网络内部的服务器时，情况就不同了。

对于未经请求的入站连接，路由器没有对应的表项，因此不知道应该将它发送给哪台内部设备，只能直接丢弃。这正是端口转发发挥作用的地方。

端口转发会创建一条手动规则：到达公共 IP 特定端口的流量将被转发到指定的内部设备和端口。

例如，将公共端口 443 转发到内部 Web 服务器后，即使该服务器在 NAT 后使用私有 IP，互联网用户也能通过您的单一公共地址访问它。

端口转发可用于让 NAT 后的服务对外提供访问：

• 可从互联网访问的家庭 Web 服务器或游戏服务器。
• 远程访问监控摄像头系统。
• 从外部访问自行托管的应用。

每条规则都会将一个外部端口映射到一台内部设备，从而在 NAT 边界上打开一条特定且受控的通道。

这条概念性规则会将外部 Web 流量转发到内部服务器。请注意，公共端口如何映射到私有设备及其端口。

对于必须完全可访问的服务器，静态 NAT 会将一个公共 IP 永久地一对一映射到一个私有 IP。与 PAT 不同，内部服务器始终使用同一个专用公共地址。

这种方式适合需要在多个端口上获得稳定、可预测的入站访问的服务器，因为单条端口转发规则无法满足这种需求。

转发规则通常会针对与特定服务关联的知名端口。转发端口 80 可通过 HTTP 访问 Web 服务器，端口 443 可通过 HTTPS 访问，端口 25 则可通过 SMTP 访问邮件服务器。

了解哪个端口对应哪个服务至关重要：错误的端口号会将流量发送到错误的位置，或者导致流量无处可去。请始终只转发托管服务实际需要的准确端口。

每条端口转发规则都会在 NAT 边界上撬开一个缺口，使内部设备暴露在互联网上。该设备会因此成为可被直接攻击的目标，所以必须及时安装补丁、进行加固，并最好由防火墙提供保护。

只开放真正需要的端口；在可能的情况下限制源地址；如果没有强有力的保护措施，绝不要将 RDP 或 SSH 等敏感服务转发到开放的互联网。

PAT 为每条通信流分配唯一的端口，并在转换表中进行跟踪，从而让许多设备共享一个公共 IP，非常适合出站流量。端口转发通过添加手动规则，让入站流量到达指定的内部设备；静态 NAT则为服务器专用一个公共 IP。每个开放的入口都存在安全风险，必须谨慎管理。

PAT 为每条通信流使用唯一的端口号，并在转换表中进行跟踪，从而让许多设备共享一个公共 IP，非常适合出站流量。端口转发会将外部端口手动映射到内部设备，以提供入站访问；静态 NAT则为服务器专用一个公共 IP。每个开放的入口都会使设备暴露出来，因此必须做好安全防护。