你有没有想过，家里好几台设备——手机、电脑、平板，都连着同一个Wi-Fi，却能同时上网，而宽带只分配了一个公网IP地址？这背后其实是NAT（网络地址转换）在默默工作。
NAT到底是什么？
NAT全称是Network Address Translation，中文叫网络地址转换。它的核心任务就是把私有网络里的内网IP地址，转换成公网IP地址，让内部设备能访问外网，同时也能正确接收回传的数据。
比如你家路由器的公网IP是203.0.113.10，而你的手机拿到的是192.168.1.100，电脑是192.168.1.101。当它们访问百度时，数据包先发给路由器，路由器用NAT把源地址换成自己的公网IP，再发出去。
转换过程是怎么进行的？
关键在于端口号。NAT不只是改IP，还会记录“谁用了哪个端口”。比如：
你的手机访问百度，路由器可能把这个连接映射成：
内网地址 192.168.1.100:50000 → 公网地址 203.0.113.10:60000
电脑同时访问知乎，可能映射为：
192.168.1.101:50001 → 203.0.113.10:60001
这样，百度或知乎返回数据时，路由器一看目标端口是60000，就知道该转给手机；是60001就转给电脑。
这种映射关系存在哪？
在路由器的NAT表里。你可以把它想象成一张动态表格：
内网IP:端口 公网IP:端口 目标地址:端口 协议
192.168.1.100:50000 203.0.113.10:60000 14.215.177.39:80 TCP
192.168.1.101:50001 203.0.113.10:60001 119.3.211.20:443 TCP每次新连接建立，路由器就会在表里加一条记录；连接断开或超时，记录就被清除。
为什么NAT对网络安全有帮助？
因为默认情况下，外部网络无法主动发起连接到你的内网设备。比如黑客想直接连你家电脑的3389端口，但路由器上没这条映射，数据包直接被丢弃。相当于你在屋里拉上了窗帘，外面看不见你。
当然，有些应用比如P2P下载、视频会议、远程控制，需要外网能主动连进来。这时候就得手动设置“端口转发”或开启UPnP，相当于在墙上开个临时小门。
常见的NAT类型有哪些？
根据转换规则严格程度，NAT可以分为几种：
- 全锥型NAT：只要内网设备发过包，任何外网主机都能通过映射的公网端口回连。
- 限制型NAT：只有之前通信过的外网IP才能反向连接回来。
- 端口限制型NAT：不仅IP要匹配，端口也得一致，安全性更高。
- 对称型NAT：最严格，不同目标地址会分配不同的公网端口，常用于企业级设备。
大多数家用路由器使用的是端口限制型，平衡了兼容性和安全性。
NAT和IPv6的关系
很多人说IPv6普及后NAT就没用了，其实不完全对。虽然IPv6地址足够多，每台设备都能有独立公网地址，但出于安全策略考虑，很多网络依然会保留类似NAT的机制，比如使用防火墙或部署NPTv6（网络前缀转换）。
换句话说，即使地址不再紧张，NAT的思想——隔离内网、控制访问——依然是安全防护的重要一环。