Windows
macOS
Android
iOS
很多实时通信、远程访问和点对点传输问题，并不是应用本身不可用，而是两端设备位于不同NAT之后，外部节点无法直接找到内网地址。要实现NAT穿透成功率提升，不能只反复更换端口，而应同时检查网络类型、地址候选、检测流程、保活周期和失败后的中继策略。
年度十大排查要点
一、先确认问题是否真的来自NAT
记录客户端所在网络、出口设备、运营商类型和失败时间。依次排除无线信号不稳、DNS解析错误、目标服务未监听、证书校验失败以及本地防火墙拦截。若同一设备连接家庭宽带成功、切换到蜂窝网络失败，通常说明出口NAT类型或移动网络策略存在差异。
二、区分公网地址与内网地址
内网地址通常位于RFC 1918规定的私有地址范围，例如10.0.0.0/8、172.16.0.0/12和192.168.0.0/16。应用不能把这类地址直接交给远端连接。应通过STUN服务器获取映射后的公网地址和端口，并把本地候选、服务器反射候选分别标记，避免候选优先级混乱。
三、识别NAT行为，而不是只看地址
重点观察端口映射是否固定、不同目标是否使用不同外部端口，以及入站数据是否必须先由内网发起。锥形NAT通常更容易建立直连；对称型NAT会根据目标地址或端口生成不同映射，打洞成功率较低。测试至少覆盖同一局域网、不同家庭网络、蜂窝网络和企业网络四类环境。
四、保证候选地址收集完整
候选不应只有一组内网地址。较完整的组合包括本地接口地址、STUN反射地址和TURN中继地址。移动设备在Wi-Fi与蜂窝网络之间切换时，旧候选可能失效，应重新收集并触发连通性检查，而不是继续使用原连接。
五、检查打洞时序
两端不能一方无限等待另一方。建议采用以下流程：
- 双方交换候选地址和会话标识。
- 按照优先级并行检测候选对，而不是逐个串行尝试。
- 先验证高优先级直连路径，再保留中继路径作为兜底。
- 确认双向数据均能到达后，再将连接状态标记为成功。
并行检测可缩短等待时间，但要设置并发上限，避免在弱网下制造大量无效探测。
六、核对UDP、TCP与端口策略
UDP通常更适合低延迟媒体和交互数据，但部分企业网络会限制UDP。TCP候选可提高特定网络下的可达性，却可能受到队头阻塞影响。实际部署中应保留至少一种备用传输路径，并确认出口防火墙允许业务所需的目的端口。不要把所有流量固定到单一端口，否则端口被占用或策略变更后会整体失败。
七、设计合理的保活机制
NAT映射会因空闲而过期，过期时间受路由器、运营商和网络负载影响，常见环境可能从几十秒到数分钟不等。应用应发送轻量保活包，并根据连续失败次数判断路径是否失效。保活间隔不宜过密：弱网设备可采用约15至30秒的起始范围，再依据实际断连情况调整；后台移动应用还要遵守系统省电限制。
八、正确配置TURN中继
直连失败时，TURN中继是稳定性保障，而不是异常方案。应准备不同网络区域的中继入口，并限制凭证有效期、带宽和单用户连接数。中继适合对称型NAT、严格企业防火墙和部分蜂窝网络，但会增加服务器带宽成本和传输延迟。排查时要区分“无法分配中继地址”“中继地址可用但无法连通”和“中继建立后资源不足”三类问题。
九、验证端口映射辅助能力
家庭路由器可能支持UPnP或PCP，应用可在用户明确授权、设备安全策略允许的前提下申请端口映射。该方式在受控家庭网络中有帮助，但企业网络、运营商级NAT和关闭相关功能的路由器不会提供可靠支持。映射成功后仍需从外部网络验证入站连通性，不能只依据路由器管理页面判断。
十、把IPv6和故障指标纳入年度检查
在双方具备可用IPv6、且防火墙允许通信时，IPv6可减少部分IPv4地址转换环节，但它并不意味着天然可访问，仍需检查入站策略和地址稳定性。系统还应记录直连成功率、中继占比、首次建立耗时、重连耗时、候选失败原因和不同网络类型的分布。只有按网络环境拆分数据，才能判断NAT穿透成功率提升来自真实改进，还是样本结构发生了变化。
一套可执行的排查顺序
首次处理故障时，可按“客户端采集—候选交换—连通性检测—中继兜底—分层统计”的顺序执行。先保存网络接口、NAT映射和错误码，再检查候选是否完整；随后比较直连与中继结果，最后按设备、运营商、网络类型和应用版本分组。若只有某一出口失败，应优先检查该出口策略；若所有网络都失败，则重点检查信令交换、候选格式和服务端配置。
| 现象 | 优先检查项 | 常见处理方向 |
|---|---|---|
| 只有同网段成功 | 外部候选和入站策略 | 补充STUN与中继候选 |
| 直连偶发失败 | 映射超时、保活和时序 | 缩短首次检测等待并完善重试 |
| 中继也失败 | 凭证、端口、配额和区域入口 | 检查TURN日志及资源限制 |
| 切网后频繁断连 | 旧候选和会话状态 | 重新收集候选并触发重连 |
常见问题
为什么有公网IP仍然穿透失败？
公网IP不等于允许入站。防火墙、端口未监听、端口映射变化或运营商策略都可能阻断连接。
是否应该完全放弃直连，全部使用中继？
不建议。中继更稳定但会增加带宽成本和延迟，适合把直连作为首选、把中继作为兜底。
保活越频繁越好吗？
不是。过于频繁会增加流量和耗电，应结合映射超时、设备状态和网络类型调整。
如何判断改动是否有效？
至少连续观察多个版本周期，并分别比较直连成功率、中继占比、建立耗时和断线重连结果，避免只看单次连接。
稳定的NAT穿透成功率提升依赖分层诊断，而不是某个固定端口或单一技巧。把候选收集、打洞时序、保活、中继、IPv6和监控指标同时纳入检查，才能在网络环境变化时保持可用性。