NAT分为两大类，基本NAT(Basic Network Address Translator)和NAPT(Network Address/Port Translator)。

基本NAT，它仅将内网主机的私有IP地址转换成公网IP地址，但并不将TCP/UDP端口信息进行转换，有动态与静态之区分。静态NAT：私有地址与公有地址进行一对一的映射，这种一对一映射无法缓解可用公有地址短缺的问题。动态NAT：私有地址与公有地址进行一对多的映射，先建立公有地址池，当私有地址向外通信时，会从公有地址池中选择非在用的公有地址进行映射，当通信结束时，释放映射关系，公有地址重新恢复到地址池中待用。

NAPT(Network Address/Port Translator)，从名称上我们也可以看得出，NAPT不但会转换经过的数据包的IP地址，还会转换数据包的TCP/UDP端口。由于现在大部分都属于NAPT，故这里不详细讨论基础NAT，下文的NAT指NAPT。

NAT有4种类型：完全锥形NAT(Full Clone NAT)、限制性锥形NAT(Restricted Clone NAT)、端口限制性锥形NAT( Port Restricted Clone NAT)、对称式NAT(Symmetric NAT)，前面3种是锥形NAT(Clone NAT)。

完全锥形NAT(Full Clone NAT)：所有从同一个内网主机的IP和端口发送出来的请求都会被映射到同一个NAT的外网IP和端口，且任何一个外网主机均可通过此映射表项发送数据包到对应的内网主机。外网主机可以主动连接内网主机，有点类似于静态NAT。

限制性锥形NAT(Restricted Clone NAT)：所有从同一个内网主机的IP(标为Src_IP)和端口(标记Src_IP)发送出来的外网请求都会被映射到同一个NAT的外网IP和端口，但增加了一个限制：只有被内网主机(Src_IP:Src_IP)请求过的外网主机IP才能被使用(此外网主机可使用任意端口)，否则外网发送的数据包会被丢弃。限制性锥形NAT也被称为IP限制性锥形NAT或地址限制性锥形NAT。

端口限制性锥形NAT( Port Restricted Clone NAT)：所有从同一个内网主机的IP(标为Src_IP)和端口(标记Src_IP)发送出来的外网请求都会被映射到同一个NAT的外网IP和端口，但限制：只有被内网主机(Src_IP:Src_IP)请求过的外网主机IP和端口才能被使用，否则外网发送的数据包会被丢弃。即在IP受限锥形NAT基础上增加了端口的限制。

对称式NAT(Symmetric NAT)：所有从同一个内网主机的IP(标为Src_IP)和端口(标记Src_IP)发送到同一个外网主机(IP地址标为目的Des_IP，端口标记为Des_Port)的请求都会被映射到同一个NAT的外网IP和端口。即此映射表项只能被**外网主机(Des_IP:Des_Port)**所用。

看一个例子，假设有如下网络，Client使用666端口访问了Server1的1999端口、1988端口和Server2的1888端口。

根据NAT类型，可能产生如下映射表，↔符号左表示内网主机IP和端口，↔符号右表示NAT的外网IP和端口，@符号右表示限制条件：外网主机地址IP和端口。

实际上大部运营商提供的光猫上网服务都是锥形NAT的，而3G、4G网络、公共WiFi等因为安全因素都是对称式NAT。(我们通常在云上购买的服务器就可以理解为是完全锥型NAT)

NAT技术虽然在一定程度上在解决IPv4地址、构建防火墙、保证网络安全方面都发挥了一定的作用，因不允许外网主机访问内网主机，却破坏了端到端的网络通信。为了让跨越NAT的主机之间有效的P2P通信，需要用到NAT穿透，或者叫做NAT打洞。

STUN（Session Traversal Utilities for NAT，NAT会话穿越应用程序，IETF RFC 3489）是一种网络协议，它允许位于NAT（或多重NAT）后的客户端找出自己的公网地址，查出自己位于哪种类型的NAT之后以及NAT为某一个本地端口所绑定的Internet端端口。

第一步 对称式NAT、锥形NAT检测：

①Client首先使用相同的端口分别连接Server1和Server2，Server1获取到NAT映射的IP1:Port1，Server2获取到NAT映射的IP2:Port2；

②Server2把IP2:Port2发给Server1，Server1对比IP1:Port1和IP2:Port2，若不相等，NAT是对称式；否则就是锥形NAT。

第二步 限制锥形NAT、完全锥形NAT检测：

①Client首先向Server2发送消息Mesg，Server2获取到NAT映射的IP2:Port2和Mesg；

②Server2把IP2:Port2和Mesg发给Server1；

③Server1向IP2:Port2发送消息Mesg，Client如果收到Mesg，NAT完全锥形，否则就是限制性锥形。

第三步 IP限制锥形NAT、端口限制锥形NAT检测：

①Client首先向Server1发送消息Mesg，Server1使用端口Port_S1接收Mesg，并获取到NAT映射的IP1:Port1；

②Server1另取一闲置端口Port_Sx(Port_Sx≠Port_S1)，Server1使用Port_Sx发送Mesg到IP1:Port1，若Client收到Mesg，NAT是IP限制锥形，否则是端口限制锥形。

NAT穿透原理如下图可以简要分为6步：

①Client1和Client2分别与Server连接，Server由此获取两者在NAT1和NAT2上的外网映射IP1:Port1和IP2:Port2；

②Server把IP1:Port1发给Client2并告之连接Client1；

③Client2发送请求IP1:Port1，NAT1接收到数据包由于没有对应的映射表项，NAT1把数据包丢弃，但在NAT2上留下IP1:Port1映射表项；

④Client2向Server发送消息：请求Server转告Client1连接Client2，Server发送IP2:Port2给Client1并告知连接IP2:Port2；

⑤Client1连接IP2:Port2；

⑥Client2接收到Client1连接，穿透成功；接收不到则穿透失败。

检测到需要穿越NAT的类型后，根据NAT类型特性，实施穿透策略。我们可以得出以下结论：

这是所有P2P场景中最简单的，它使用一种被称为“反向链接技术”。

由于Client2拥有外网IP地址，所以Client1可以直接发起TCP连接到Client2，但如果Client2尝试发起TCP连接到Client1进行P2P通信则会失败。这时Client2不是直接向Client1发起TCP连接，而是通过Server给Client1发送一个请求：反过来请求Client1连接到Client2（即进行反向链接），Client1在收到从Server转发过来的请求后，会主动向Client2发起一个TCP的连接请求，这样在NAT设备上就会建立起映射表项，Client1和Client2之间能够正常TCP连接。

假设有内网主机Client1和Client2，他们对应的NAT为NAT1和NAT2，有一个外网服务器Server，我们可以把Client1和Client2之间的UDP通信NAT穿透方案优化为：

①Client1和Client2向Server发送自己内网IP和端口，Server分别记为IP_C1:Port_C1和IP_C2:Port_C2；同时Server记下Client1、Client2实际与自己通信所使用的外网IP地址和端口号（即对应NAT映射表项外网IP地址和端口），分别记为IP1:Port1和IP2:Port2；

②Client1请求Server帮助建立与Client2的UDP连接；

③Server将Client1的{IP_C1:Port_C1, IP1:Port1}发给Client2，同时，Server将Client2的{IP_C2:Port_C2, IP2:Port2}也发给Client1；

④当Client2收到{IP_C1:Port_C1, IP1:Port1}后，开始向IP_C1:Port_C1和IP1:Port1分别发送UDP数据包，并且Client2会自动锁定第一个给出响应的IP地址和端口号。同理，当Client1收到{IP_C2:Port_C2, IP2:Port2}后，也会开始向IP_C2:Port_C2和IP2:Port2分别发送UDP数据包，并且自动锁定第一个得到Client2回应的IP地址和端口号。由于Client1与Client2互相向对方发送UDP数据包的操作是异步的，所以Client1和Client2发送数据包的时间先后并没有时序要求。

当Client1、Client2在同一个NAT内网时，NAT1=NAT2，如上图，正常情况下，Client1、Client2分别向对方内网IP端口发送的数据包因为不需要路由先到达，因而一般采用内网直联P2P通信。而Client1、Client2分别向对方外网IP端口发送的数据包能否收到取决于NAT是否支持不同端口之间的UDP数据包传输（即Hairpin转换特性）。

注：Hairpin又被称为Hairpin NAT、Loopback NAT或Hairpin Translation，翻译“端口回流”，“回环NAT”。它能够让两台位于同一台NAT网关后面的主机，通过对方的外网地址和端口相互访问，NAT网关会根据一系列规则，将对内网主机发向其NAT外网IP地址的报文进行转换，并从内网接口发送给目标主机。

如上图， Client1和Client2进行P2P连接，最好的方式NAT1外网地址端口直联NAT2外网地址端口，但是实际上，Client1、Client2和Server都无法获取到NAT1、NAT2的外网地址和端口。Client1、Client2只能向对方在NAT3上映射的外网端口发送数据包，如果NAT3不支持Hairpin，那么Client1、Client2就不能进行P2P通信。