内网穿透，即NAT穿透，网络连接时术语，计算机是局域网内时，外网与内网的计算机节点需要连接通信，有时就会出现不支持内网穿透。就是说映射端口，能让外网的电脑找到处于内网的电脑，提高下载速度。不管是内网穿透还是其他类型的网络穿透，都是网络穿透的统一方法来研究和解决。1

原理在整个音频共享模块中，UDP内网穿透技术是实现多个不同内网节点之间的UDP音频流互相转发的技术重点。音频对讲过程可分解为音频压缩、发送的输出过程和音频接收、解压、播放的输入过程。而多人音频对讲的过程实际上就是多个节点的系统中，两两节点之间的音频流收发过程。4在这里无法直接处理的环节是每个参与音频对讲的节点作为服务器端接收其他节点发送过来的音频流数据的输入过程，因为大部分参与者都没有自己的公网IP，这样的内网节点直接在本地启动一个接收音频流的服务器线程，不在同一内网之内的其他节点无法直接连接到这个服务器。虽然可以通过在每个局域网和公网之间的路由器上添加端口映射将内网服务端口呈现在公网上，但这样做涉及到要修改每个节点对应的路由器配的置以及权限等问题，不是理想可用的实现方法。使用UDP内网穿透技术，可以使一个普通的内网节点在需要时将自己的服务器端口自动的呈现在公网上，并且能够让系统内其他节点正确获取这个音频接收服务器的地址，以便其他节点能够将自己的音频流发送到这个音频接收端口。1

工作方式网络地址转换（Network Address Translation，NAT）机制的问题在于，NAT设备自动屏蔽了非内网主机主动发起的连接，也就是说，从外网发往内网的数据包将被NAT设备丢弃，这使得位于不同NAT设备之后的主机之间无法直接交换信息。这一方面保护了内网主机免于来自外部网络的攻击，另一方面也为P2P通信带来了一定困难。Internet上的NAT设备大多是地址限制圆锥形NAT或端口限制圆锥形 NAT，外部主机要与内网主机相互通信，必须由内网主机主动发起连接，使 NAT设备产生一个映射条目，这就有必要研究一下内网穿透技术。3

内网穿透，也即 NAT 穿透，进行 NAT 穿透是为了使具有某一个特定源 IP 地址和源端口号的数据包不被 NAT 设备屏蔽而正确路由到内网主机。3

端口映射，其实就是常说的网络地址转换（Network Address Translation，NAT）地址转换的一种，其功能就是把在公网的地址转翻译成私有地址， 采用路由方式的ADSL宽带路由器拥有一个动态或固定的公网IP，ADSL直接接在HUB或交换机上，所有的电脑共享上网。在局域网内部的任一PC或服务器上运行到内网穿透客户端，此时域名解析到的IP地址是局域网网关出口处的公网IP地址，再在网关处做端口映射指向监控设备即可。3

在NAT网关上会有一张映射表，表上记录了内网向公网哪个IP和端口发起了请求，然后如果内网有主机向公网设备发起了请求，内网主机的请求数据包传输到了NAT网关上，那么NAT网关会修改该数据包的源IP地址和源端口为NAT网关自身的IP地址和任意一个不冲突的自身未使用的端口，并且把这个修改记录到那张映射表上。最后把修改之后的数据包发送到请求的目标主机，等目标主机发回了响应包之后，再根据响应包里面的目的IP地址和目的端口去映射表里面找到该转发给哪个内网主机。这样就实现了内网主机在没有公网IP的情况下，通过NAPT技术借助路由器的一个公网IP来访问公网设备。3

网络地址转换NAT技术是通过将专用的网络地址转换为公用地址，从而对外隐藏了内部管理的IP地址。这样，通过在内部使用非注册的IP地址，并将它们转换为一小部分外部注册的IP地址，从而减少了IP地址注册的费用以及节省了越来越缺乏的地址空间。同时，这也隐藏了内部网络结构，从而降低了内部网络受到攻击的风险。NAT的功能就是在内部网络的私有地址需要与外部通信时,把内部私有地址转换成合法的全局IP地址。NAT可以在两个方向上隐藏地址，为了支持这种方案，NAT在两个方向上都要翻译原地址和目的地址。NAT的功能通常被集成到路由器、防火墙等设备中。NAT设备维护一个映射表，用它来实现全局到本地和本地到全局的地址转换。2

NAT有三种类型：静态NAT(StaticNAT)、动态地址NAT(PooledNAT)、网络地址端口转换NAPT（Port-LevelNAT）。2

其中，网络地址端口转换NAPT（NetworkAddressPortTranslation）则是把内部地址映射到外部网络的一个IP地址的不同端口上。它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的端口号。2

NAPT是使用最普遍的一种转换方式，在HomeGW中也主要使用该方式。它又包含两种转换方式：SNAT和DNAT。2

源NAT（SourceNAT，SNAT）：修改数据包的源地址。源NAT改变第一个数据包的来源地址，它永远会在数据包发送到网络之前完成，数据包伪装就是一具SNAT的例子。2

目的NAT（DestinationNAT，DNAT）：修改数据包的目的地址。DestinationNAT刚好与SNAT相反，它是改变第一个数据懈的目的地地址，如平衡负载、端口转发和透明代理就是属于DNAT。2

基于点对点技术实现作用实现内网之间机器的网络通信。3

需要解决UDP出现的数据传输不稳定问题。3

示例假设一台在NAT211.133.*后的192.168.1.77:8000要向NAT211.134.*后的192.168.1.88:9000发送数据，假设你向211.134.*这个IP地址的9000端口直接发送数据包，则数据包在到达NAT211.134.*之后，会被当做无效非法的数据包被丢弃，NAT在此时相当于一个防火墙，会对没有建立起有效SESSION的数据包进行拒绝转递。当然，你也不能直接用内网地址192.168.1.88进行发送数据包。首先我们要认识NAT设备，NAT英文全拼是Network Address Translator(网络地址转换器)，说白了就是凡是经过NAT发出去的数据包，都会通过一定的端口转换（而非使用原端口）再发出去，也就是说内网和外网之间的通信不是直接由内网机器与外网NAT进行，而是利用内网对外网的NAT建立起SESSION与外网NAT的SESSION进行。3

根据SESSION的不同，NAT主要分成两种：SymmetricNAPT以及CONE NAPT。简单的说，Symmetric NAPT是属于动态端口映射的NAT，而CONE NAPT是属于静态端口映射的NAT。而市场上大多属于后者，CONE的意思就是一个端口可以对外部多台NAT设备通信。这个也正是我们做点对点穿透的基本，是我们所希望的，否则大部分点对点软件将无法正常使用。3

像上面的例子，NAT211.133.*和NAT211.134.*之间需要进行通信，但开始不能直接就发数据包，我们需要一个中间人，这个就是外部索引服务器（我们假设是211.135.*:7000），当NAT211.133.*向211.135.*:7000发送数据包，211.135.*:7000是可以正常接收到数据，因为它是属于对外型开放的服务端口。当211.135.*:7000收到数据包后可以获知NAT211.133.*对外通信的临时SESSION信息（这个临时的端口，假设是6000会过期，具体的时间不同，但我个人的测试是每30秒发送一个心跳包keep住连接以保证端口维持住通信连接不断开），索引服务器此时应将此信息保存起来。而同时，NAT211.134.*也在时刻向索引服务器发送心跳包，索引服务器就向NAT211.134.*发送一个通知，让它向NAT211.133.*:6000发送探测包（这个数据包最好多发几个），NAT211.134.*在收到通知包之后再向索引服务器发送反馈包，说明自己已经向NAT211.133.*:6000发送了探测包，索引服务器在接收到反馈包之后再向NAT211.133.*转发反馈包，NAT211.133.*在接收到数据包之后再向原本要请求的NAT211.134.*发送数据包，此时连接已经打通，实现穿透，NAT211.134.*会将信息转发给192.168.1.88的9000端口。3

对于Symmetric NAPT的情况，网上有人说可以通过探测端口的方式，不过成功率并不高，我建议可用服务器进行中转。另外，最好在数据包发送前先检测是否进行的是同个NAT的情况，也就是内网发内网，如果是，直接发送即可，而无需通过外网再绕回来。3

其次关于第二点，解决UDP传输的不稳定问题，其实这里涉及到另一个方面的知识，就是滑动窗口的东西，可以开一个缓冲区用于循环接收数据以及重组，另外加上超时重发机制以及确认发送机制，有点像TCP的传输原理，不过如果处理的好，效率绝对比采用TCP的方式要高。3

UDP内网穿透的实现流程巧妙地利用NAT原理实现NAT内网穿透技术，就可以使内网服务器接收到外网数据包。内网穿透流程如下：1

(1) 两个需要通过内网穿透进行通讯的内网客户端，分别将自己的外网收发接口注册给一个具有公网ip的中转服务器，如右图所示。1

(2) 中转服务器将两个客户端注册的收发接口分别告知给对端，如右图所示。1

(3) 一个内网客户端使自己的接收端口作为源地址，向对端的发送端口发送一个udp数据包，这个数据包称为打洞包。发送过这个打洞包后，可以在这个内网的出口路由器上产生一条NAT记录，令后续从对端发送端口发来的数据包都不被丢弃, 而是转发给相应的内网客户端的指定端口，如右图所示。1

(4) 发送过打洞包后，对端发送至本端路由器指定接收端口的数据包，就会根据NAT记录转发至本端的内网服务器接收端口，从而实现了内网服务器接收外网数据包的功能，如右图所示。1

(5) 另一个内网服务器同样执行上述步骤 (3) 、 (4)， 即可实现两端内网服务器相互收发音频数据包的功能。1

本词条内容贡献者为:

尚轶伦 - 副教授 - 同济大学数学科学学院