UPnP 与 NAT-PMP 自动端口映射怎么开：NAT 类型严格、联机失败与安全风险全解

家里的路由器做地址转换时，默认只放行由内部设备主动发起的连接，外部主动发来的连接会被丢弃。网页浏览和看视频不受影响，但联机游戏、语音通话、下载工具和家庭媒体服务器的远程访问，都需要外部能主动连进来。于是就有了这些常见现象：任天堂主机测试连接显示 NAT 类型为 D 或 F，好友房总是进不去；索尼与微软的主机提示 NAT 类型严格或中等，组队语音时断时续；下载工具提示端口未开放，速度上不去。

解决办法有两类：手动在路由器上做端口映射，或者开启 UPnP 与 NAT-PMP，让设备在需要时自动向路由器申请映射。后者省事，但有两个前提：你家的路由器必须拿到公网地址，并且只有一层地址转换。光猫和路由器各做一次地址转换、或者运营商根本没分配公网地址时，开了也没用。下面先讲清几种协议与方式的区别，再分步设置和排查。

几种端口映射方式的差异

对大多数家庭来说，UPnP 是性价比最高的选择：游戏主机、下载工具、媒体服务器几乎都支持，开关一开设备就能自己处理。NAT-PMP 与 PCP 在开源路由器固件里通常和 UPnP 由同一个程序提供，打开 UPnP 时会一并启用。DMZ 只建议临时用来判断问题，不要长期开着。

从严格到开放：分步设置步骤

• 第一步：先把网络线路准备好。后面需要用境外的端口检测服务和主机厂商的联机测试做对照，先连上刺猬VPN 打开检测站点；注册只需自定义用户名和密码，不需要邮箱和手机号，免费节点永久免费、不限流量，注册即用。测试家里路由器的映射效果时，要让被测设备走宽带直连，否则测到的是线路出口；
• 第二步：确认有没有公网地址。登录路由器管理页面查看广域网地址，与网上查到的出口地址对比，一致才说明有公网地址；地址以 100.64 到 100.127 开头，就在运营商级 NAT 后面；
• 第三步：确认只有一层地址转换。光猫处于路由模式、下面又接了一台路由器，就是双重 NAT。可以请运营商把光猫改为桥接，由自己的路由器拨号；或者在光猫里把路由器设为 DMZ 主机；
• 第四步：在路由器里开启 UPnP。常见位置是「高级设置」或「转发规则」下的 UPnP 选项，打开开关并保存；开源固件里还能看到 NAT-PMP 与 PCP 的单独选项，一并启用；
• 第五步：重启需要联机的设备，让它重新向路由器申请映射。主机重新执行一次网络连接测试，看 NAT 类型是否变化；
• 第六步：回到路由器的 UPnP 页面，查看映射列表，应能看到主机或下载工具申请的端口、协议与内部地址；列表为空说明设备没有成功申请；
• 第七步：仍不行就改为手动映射。给主机在路由器里绑定固定的内部地址，按主机厂商公布的端口清单逐条添加映射，或临时把主机设为 DMZ 主机做对比；
• 第八步：定期检查映射列表，发现不认识的程序申请了端口，要排查对应设备是否被植入恶意程序。

按现象排查：开了 UPnP 为什么没用

开了 UPnP 仍然显示严格，原因多半不在开关本身，按下面的顺序逐条排查。每排除一项就重新测试一次连接，记录结果，比一口气改完所有设置更容易找到真正的原因。

• 映射列表里有记录但 NAT 类型仍严格：存在双重 NAT，外层光猫没有转发，改光猫为桥接或设置 DMZ；
• 映射列表为空：设备没有发起申请，确认设备的网络设置里没有关闭自动端口映射，重启设备后再测；
• 所有方式都无效：没有公网地址，向运营商申请公网地址，或参考运营商级 NAT 的处理方案；
• 两台主机同时联机冲突：两台设备申请了同一个端口，路由器只能映射给其中一台，错开使用时间或为第二台手动映射其他端口；
• 开启后过一段时间失效：路由器重启或设备地址变化导致映射失效，给设备绑定固定地址；
• 游戏走线路时 NAT 仍严格：游戏流量经过加密线路出去，家里路由器的映射对这部分流量不起作用，NAT 类型取决于线路出口，可以用智能分流让游戏的联机流量直连；
• 下载工具速度仍低：端口已开放，但对等节点少或运营商有限速，与映射无关。

各类设备上的 NAT 类型怎么看

不同厂商对 NAT 类型的叫法不一样，先学会看懂自己的设备。任天堂主机在「设置」的「网络」里选择「测试连接」，结果分为 A 到 F 几档，A 与 B 基本可以顺利联机，C 偶尔匹配不到，D 与 F 经常无法加入好友房。索尼主机在网络设置里测试连接，结果分为类型一到类型三，类型三就是严格。微软主机在网络设置里显示开放、中等、严格三档，电脑上的游戏工具也会给出类似结果。

电脑上的下载工具通常在设置或状态栏里显示端口是否可从外部连接，绿色表示开放。家庭媒体服务器的远程访问页面会直接提示是否能从外部访问，并显示它尝试申请的端口。判断时最好每改一项设置就测一次，记录下结果，避免同时改动多项后不知道到底哪一步起了作用。

需要注意，测试结果和当时的网络状态有关：主机如果正在走线路，测出来的是线路出口的情况；走宽带直连时测出来的才是家里路由器的情况。对比时保持网络路径一致，结论才可靠。

UPnP 的安全取舍

UPnP 的便利来自「不验证」：内网里任何程序都可以向路由器申请打开端口，路由器不会询问你是否同意。这意味着一旦家里某台电脑或智能设备被植入恶意程序，它可以悄悄把自己暴露到公网，成为被远程控制的入口。早年还有部分路由器把 UPnP 服务错误地暴露在广域网口上，外部攻击者可以直接替你打开端口。

折中的做法是：路由器固件保持更新；只在需要联机的时期开启 UPnP；能在固件里设置允许列表的，只允许主机和固定的几台设备申请映射；智能家居设备放进访客网络，与主机和电脑隔离。对安全要求高的家庭，干脆关闭 UPnP，只为主机做手动映射，多花十分钟换来可控。

线路与端口映射怎么配合

线路与端口映射解决的是不同问题：线路负责让境外的登录、下载、商店等服务连得上、连得稳；端口映射负责让点对点联机的对方能连进来。比较合理的搭配是用智能分流把商店、账号与下载服务交给线路，点对点联机流量保持宽带直连，由路由器的映射处理。实际可用性取决于当前网络环境。

和相关网络问题的分工

第二步就发现没有公网地址的，UPnP 无从谈起，申请公网地址、内网穿透与 IPv6 方案见 运营商级 NAT 与端口转发指南；任天堂主机玩家最关心的 NAT 类型、联机报错代码与会员服务问题，见 Nintendo Switch Online 联机指南。

三者的关系可以这样理解：有没有公网地址决定了能否映射，UPnP 与手动映射决定了怎么映射，主机自身的设置决定了能否用上映射。按这个顺序排查，NAT 类型的问题基本都能定位。

常见报错速查表

高频问答

• 问：UPnP 和手动映射选哪个？答：图省事选 UPnP，看重安全与可控选手动映射；
• 问：NAT-PMP 需要单独开吗？答：开源固件里通常与 UPnP 一起提供，有单独选项就一并打开；
• 问：开 UPnP 有风险吗？答：有，内网恶意程序可以自行开放端口，建议保持固件更新并隔离智能设备；
• 问：为什么开了 UPnP 还是 NAT 类型 D？答：最常见是双重 NAT 或没有公网地址；
• 问：DMZ 能长期开吗？答：不建议，DMZ 设备的所有端口都暴露在公网；
• 问：走线路玩游戏会影响 NAT 类型吗？答：会，NAT 类型取决于线路出口，可用智能分流让联机流量直连。

让 NAT 类型稳定在开放

UPnP 与 NAT-PMP 自动端口映射能解决大部分 NAT 类型严格的问题，前提是有公网地址、只有一层地址转换。开关打开后去映射列表确认记录，仍不行就排查双重 NAT，最后再考虑手动映射与 DMZ。同时别忘了 UPnP 的安全代价，固件更新与设备隔离要做到位。

刺猬VPN 采用 HTTPS+AES 加密传输，自定义用户名和密码即可匿名注册；免费节点永久免费、不限流量、不限速，可以用来做对照测试；时长套餐有效期内不限流量、不限速，适合长期访问境外的联机与商店服务；客户端支持断线保护与按域名或 IP 的智能分流，点对点联机流量可以保持直连。实际可用性取决于当前网络环境。