想到了群里的图
https://imgur.com/5fEoAlA

https://www.google.com/?hl=en&gl=US

gl 参数强制地区，无论节点在哪出来的都是同一个结果。

首先，建议遵守安全规定。
不过针对问题回答，可以 ping 通，就可以使用 icmp 隧道。使用 HTTP 的 Neo-reGeorg 也可以，不过个人觉得效率不是很高。十多年前的 GoAgent 也是基于 HTTP 的，那个时候还使用的是自签名证书。通过隧道后再 FRP 。

@K1W1 区别是，运营商只给内网 IP ，Natter 可以直接把端口打到公网上（还是您的出口 IP ） TPLINK 那个是简单的转发

@zxbiao 现在还是半成品，后面 ipk 有了就都自动好了。

@ayukas 看到 issue 里有人说建个群好交流，刚刚才建的呀

@mikeluckybiy 参考#15 的做法，直接使得打洞失效。然而设置额外的防火墙会使得网络质量下降，使用 P2P 的游戏玩不了等，引来客户投诉。
Natter 缓解了一部分原本一定要公网 IP 用户的需求，运营商应该高兴才对。

@xzcfz123 运营商的问题。
UDP 是 NAT 1 ，那么一定可以向公网开放 UDP 端口（这个功能我还没加上）； TCP 的条件比较苛刻，运营商支持与否看运气。

@mikeluckybiy NAT 2 是防火墙限制 IP 一致（比如 qq 的 IP 是 109.244.211.100 ，只允许 109.244.211.100 进入）； NAT 3 是防火墙限制 IP 和端口一致（更严格），因此其他来源的 IP 地址就不能趁虚而入了。NAT 4 则是打一枪换一炮，地址映射不固定，能猜对的几率几乎为零。

@mikeluckybiy 只要你的设备要访问网络（微信 /百度 /看 V2EX/…）就会有传出连接，NAT 肯定会转换并放行。
BT 会自动打洞因为他的协议就是这么设计的。
就如同为什么 Natter 会打洞，因为就是这么设计的。

@sangleft BT 他自己就会打洞～

@mikeluckybiy 通俗的解释吧，端口转发就相当于留了条道，NAT 服务器就相当于小区门闸机。

有人出小区，闸机就会打开。这个人有编号，是端口号。路由器转发这个端口号，其他人就能“蹭”这个闸机进去。转发所有端口，相当于只要有人出，就能“蹭”这个人的闸机。

所以并不是自动形成的映射关系，而是 10000-50000 tcp 端口肯定有人要出去，有人出去了闸机就开了。

@mrzx 不用客气。
@berry10086 是的，因为外部端口选择取决于 NAT 服务器。

如果一定想要固定端口，可以暴力并发连接，直到 NAT 服务器给出自己想要的端口，然后关闭其他外部端口号不对的连接。（很暴力，因此未加入此功能）

@1423
您的做法符合 Natter 最基础的思路，原理是一致的。

1. Natter 使用 STUN 服务器，避免端口扫描（全端口转发猜端口）。
2. Natter 自己维护对外连接，因此公网的端口有效期理论无限长。

批量转发只能对单个端口有效果，同时运行多个 Natter 可以向公网暴露多个端口。

@mrzx
详细地说，原理是这样的。

假设本机获得了运营商分配的局域网 IP (100.64.32.10)：
当本地 100.64.32.10 向 www.qq.com (109.244.211.100) 发起 HTTP 请求时，NAT 会做转换。

1. 本地发起请求，来源端口为 100.64.32.10:3456 ，想建立 (100.64.32.10:3456 至 109.244.211.100:80) 的连接。
2. ISP NAT Server 察觉到本地想要请求，在公网 IP 空闲端口中挑一个，在映射表中新增 (100.64.32.10:3456 ~ 203.0.113.10:14500) 映射关系。
3. 100.64.32.10:3456 转发 203.0.113.10:14500 至 109.244.211.100:80 ，本机和 www.qq.com 成功建立连接。
4. 本机断开与 www.qq.com 的连接，NAT Server 释放端口，清除 (100.64.32.10:3456 ~ 203.0.113.10:14500) 映射关系

因此，在第 4 步之前，第 3 步的时候 (100.64.32.10:3456 ~ 203.0.113.10:14500) 已经成立了映射关系，NAT1 下，两者是等同关系。此时，端口被“临时地”暴露至公网。
当该端口还提供服务时，相当于开了一个“洞”，外部的连接就能“趁虚而入”。
一旦到达第 4 步，NAT Server 回收 14500 端口，就无法继续“趁虚而入”了。

然而，这是上帝视角看整个连接的过程。实际操作中，我们不知道出口的 IP 和端口号，www.qq.com 也不会告诉我。
因此，我们需要问一个路人：“打扰一下，您看看我外面 IP 和端口号是多少”。这个路人就是 STUN 服务器。
STUN 服务器没那么多闲工夫，告诉你 IP 端口之后就立即关闭连接了。而 www.qq.com 比较客气，只要你提出我想要保持连接不关闭，它就不会关闭，外部端口也就不会被回收。
Natter 会每 10 秒说一次：“求求你别关连接”。

如果没有 STUN 服务器，但您知道自己的出口 IP ，就可以做全端口扫描，不过这就很费事了。

原理图：
https://raw.githubusercontent.com/MikeWang000000/Natter/master/.img/img03.png

@matzoh tailscale/zerotier 打洞时一般都是 UDP ，Natter 使用 TCP 。

另外，Natter 的“打洞”其实只做了一半：只有服务端打洞，向外暴露端口；客户端则是没有感知的，不借助任何软件，手输外部 IP:端口号即可访问。

江苏移动 App 的流量大富翁每个月白送 6 GB ，再加上签到之类的活动一个月 0 元攒到 20 GB 都有可能。
我这 8 元卡这么做很久了 hhh

@shikkoku 这两个已经内置在 Natter 里了，作为 UDP 的探测。可惜两个都不支持 TCP 模式。

@1423 有意为之的，这样才能打洞。原理十分简单，重点在于维持 TCP 连接的思路，以及外部地址的获取（ Natter 相当于把 STUN 协议的客户端重新实现了一次）

@jasonliu769 我不在用 Windows ，不过印象中 netsh 的端口转发会独占端口。

@Zy143L 对的，因为 TCP STUN 公共服务器都是境外的，我没有找到国内可用的服务器 : (
而且如果运营商对某些境外地址，改变了出口 IP ，那么也会影响判断结果 emmm
可能暂时不太好解决