本文首发于 ❄️慕雪的寒舍

引入

如果你折腾过NAS或者BT下载等等玩意，可能听说过“P2P打洞”这一技术名词。简单来说，P2P打洞可以让我们直接在外网访问内网的设备，从而让没有公网IP的家庭设备也能获得“公网直连”的速度。

比如绿联、极空间等国产NAS的客户端，在外网访问的时候，都会先尝试P2P打洞让你和你的NAS实现P2P直连，打洞失败的时候才会采用服务器转发的方式；

P2P打洞后：你的当前设备和家里的NAS直接通信

采用服务器转发：报文从家里NAS - 服务器 - 你的当前设备

因为服务器转发的速度直接依赖于服务器的出口带宽，所以使用服务器转发的用户越多，速度也就越慢，有的时候你会发现服务器转发的速度甚至不如没开会员的某度云盘。

前置技术了解

在学习P2P打洞之前，你需要了解以下知识点。注意，本文只是对P2P打洞的简单理解和说明，深入了解底层原理请自行百度其他更详细的文章！

什么是P2P？

P2P即 Peer to Peer，是一种对等连接方式，纯P2P架构包含如下内容

没有总是在线的服务器任意端之间直接通信对等方之间可以间断链接，并可以动态改变IP地址

P2P技术的实际的用例如下：

文件分发（BT下载）流媒体VolP内网穿透式访问（建立P2P链接，直接和内网主机通信）即本文即将要讲述的P2P打洞。

NAT类型

参考本站 IP层和数据链路层 博客中4.3节对NAT技术的解析。

NAT2：地址限制锥形NAT

所谓地址限制锥形NAT，即NAT映射之后的外网端口和IP地址对请求具有一定的限制，这个限制体现为它只允许已建立链接的主机与之进行通信。

局域网主机C需要和公网服务器S1进行通信局域网主机C发送请求报文，通过运营商路由器转发，抵达S1服务器这个过程中每一层的路由器都建立了一个NAT转发表如果是限制锥形NAT，运营商的路由器将会限制该NAT地址的外网访问IP地址：

只有S1服务器发来的报文能被正常往内网转发（端口不限制），发送给给局域网主机C；其他公网服务器（和S1不同IP地址）如果企图向该NAT地址发送报文，会被运营商路由器拒绝；

举个具体的的例子，在地址限制锥形NAT下

C请求1.1.1.1:8080，会建立一个NAT映射，假设是 2.2.2.2:9000；只有1.1.1.1这个IP能发送报文给NAT地址，对来源端口不限制；其他来源IP都会被NAT地址拒绝

NAT3：端口限制锥形NAT

在限制锥形NAT的基础上，添加了端口的限制，即只有局域网设备C请求过的S1的端口才能发送信息给局域网主机。

端口限制锥形NAT下

C请求 1.1.1.1:8080

只有 1.1.1.1:8080 能发送报文给NAT地址

其他来源IP或者1.1.1.1上不同的端口发来的报文都会被拒绝

NAT1：完全锥形NAT

完全锥形NAT的映射过程同上，但是不会对外网访问做任何限制。

即NAT地址建立后，任何外网主机都可以发送信息给这个NAT地址。

NAT4：对称式NAT（动态NAT）

对称式NAT把内网IP和端口到相同目的地址和端口的所有请求，都映射到同一个公网地址和端口；同一个内网主机，用相同的内网IP和端口向另外一个目的地址发送报文，则会用不同的映射（比如映射到不同的端口）。

和端口限制式NAT不同的是，端口限制式NAT是所有请求映射到相同的公网IP地址和端口，而对称式NAT是为不同的请求建立不同的映射。它具有端口受限锥型的受限特性，内部地址每一次请求一个特定的外部地址，都可能会绑定到一个新的端口号。也就是请求不同的外部地址映射的端口号是可能不同的，甚至请求同一个主机的不同端口也会映射到不同的NAT地址上。

说白了就是，客户端请求目标的端口不同就会更换映射；甚至端口相同的时候都有可能更换映射。

NAT类型IP端口映射示意图

根据NAT类型，可能产生如下映射表，表中<->符号左侧表示内网主机IP和端口，<->符号右侧表示NAT的外网IP和端口，@符号右表示限制条件：外网主机地址IP和端口。

如何验证NAT类型

通过这个表，也能反推出我们应该如何验证一个NAT的类型

局域网客户端C向服务器S1发起请求，服务器S1能得到一个C的NAT地址和端口服务器S1让C向自己的另外几个端口发起请求，如果这些请求的来源IP和端口都一致，则代表C是锥形NAT，如果出现了不同的端口，则代表是对称NAT；服务器S1将这个地址和端口交给服务器S2，S2向C发送一个报文如果C收到了这个S2发来的报文，代表是完全锥形NAT，不对外网来源做限制如果C没有收到，说明是限制锥形NAT;服务器S1换一个端口向C的NAT地址和端口发起请求；如果C收到了，则代表是地址限制锥形NAT，对端口不做限制；如果C没有收到，则代表是端口限制锥形NAT，对地址和端口都做了限制；服务器S1尝试让客户端C用相同的本地端口，给S1的另外一个端口发送请求，如果两次请求的来源端口出现了变化，说明是对称式NAT；

这里客户端和服务器都是我们单独实现的程序，所以可以通过自定义特定的字段来让客户端、服务器做不同的操作。验证客户端的NAT类型至少需要两个不同IP的公网服务器。

博客：NAT打洞_nat1打洞-CSDN博客 中有一个不错的流程图，在此引用一下

现在假设 192.168.0.100 通过 8000 端口 访问 114.135.246.90 的 9001 端口

经过NAT之后，会形成这样一种结果：

内网的 192.168.0.100:8000 ↔ 120.230.117.10:9999 NAT公网IP，形成绑定关系服务端 114.135.246.90:9001 被 120.230.117.10:9999 NAT公网IP，访问

然后如果客户端 192.168.0.100 的8000端口：

8000 端口 能收到 紫色 发来的消息，就是 NAT18000 端口 收不到 紫色 发来的消息，却能收到 浅蓝色 线发来的消息，就是 NAT28000 端口 收不到 紫色 和 浅蓝色 线发来的消息，只能收到 绿色 线返回来的消息，就是 NAT3 | NAT4

NAT3 和 NAT4 的区别：

NAT3 是 8000 端口与 9999 端口形成绑定关系，不管通过 8000 端口访问谁，·都是从 9999 端口出去NAT4 是 8000 端口与 9999 端口形成的绑定关系是有条件的，8000 端口访问同一 ip:port 时，都会从 9999 端口出去；但通过 8000 端口访问其他 ip:port 时，就会绑定 NAT 其他端口，比如 9990（目标端口变化NAT就会变化）

有流程图片，看起来会更清楚一点。

P2P打洞过程

如果想实现P2P打洞，那么当前局域网内设备必须是在锥形NAT下，才能实现直接通信。因为在对称NAT下，NAT的端口地址会经常变化，很难实现稳定的连接。

对于锥形NAT，比较好打洞的自然是完全锥形NAT了，因为它对外网的来源IP和端口都不做限制，那么就可以用下面的流程来实现打洞

需要中间服务器S客户端C1和C2都是完全锥形NAT客户端C1请求和C2实现P2P连接客户端C1向中间服务器S发起请求，NAT会为C1维护一个端口和地址服务器S收到C1的请求，并对内网客户端C2下发一个通知，让C2也来请求SC2也向服务器发起一个请求，NAT为C2也维护了一个地址此时服务器S就同时知道C1和C2通过NAT出来的一个公网端口和IP地址服务器S将C1/C2的IP:端口互相告知对方C1和C2都得到了对方的IP和端口，因为是完全锥形NAT，双方可以直接通信打洞完成

这个过程中，中间服务器S是不可或缺的，如果没有这个中间服务器，C1和C2就很难知道对方的NAT公网IP和端口，也就没有办法直接实现通信。

个人理解，只要C1和C2有一方是完全锥形NAT，那么P2P打洞就是比较容易实现的，假设C1是完全锥形NAT，C2是有限制的NAT：

服务器S知道了C1的NAT的公网IP地址和端口后，将其告知C2；C2重新对C1的完全锥形NAT发送请求，限制锥形NAT会对C2的新请求更新自己的限制表中的白名单，将C1的IP地址和端口也加入到了这个白名单中；此时限制锥形NAT的限制就消失了，C1和C2依旧可以点对点发起通信。

上述过程还是比较好弄明白的。

NAT穿透性表格

下表展示了不同NAT组合的穿透性。

但是我没想明白两边都是端口限制型NAT如何打洞？百度也没找到好的说明。

关于端口受限型 NAT 打洞可行性的思考 - 糯米PHP双方都是端口限制NAT能实现P2P打洞吗？

搞清楚这个问题后我会回来补充本文。

打洞失败

如果打洞失败，C1和C2就得借助中间服务器S的转发来实现通信，此时通信的速度就会出现限制。同时，中间服务器S的带宽/流量资费也比较感人。

这也是为什么绿联和极空间虽然提供了中间服务器转发的方式，但依旧会想办法让你和你的NAS能实现P2P直接通信。除了能提高连接速度，更多的是节省它们服务器的带宽和资费。

The end

P2P打洞的大概原理就是如此，更深层次的就不再研究了~你看明白了吗？