在我们开始用尽IPv4地址之前，我们没有（广泛地）使用NAT。每台连接互联网的计算机都有其自己的全局唯一地址。首次引入NAT时，是从为客户使用/拥有的每个设备给ISP的客户1个真实地址转变为给1个客户1个真实地址。这个问题解决了一段时间（几年），而我们原本应该改用IPv6。而不是切换到IPv6，（大多数）每个人都等待其他人进行切换，因此（大多数）没有人推出IPv6。现在，我们再次遇到相同的问题，但是这次，正在部署第二层NAT（CGN），以便ISP可以在多个客户之间共享1个真实地址。
如果NAT并不糟糕，那么IP地址用尽并不是什么大问题，包括在最终用户无法控制它的情况下（运营商级NAT或CGN）。
但是我认为NAT很糟糕，特别是在最终用户无法控制NAT 的情况下。并且（作为一个工作是网络工程/管理但具有软件工程学位的人），我认为通过部署NAT而不是IPv6，网络管理员将解决地址耗尽的重担从他们的领域转移到了最终用户身上。和应用程序开发人员。
因此（我认为），为什么NAT是应当避免的可怕的邪恶之举？
让我们看看我是否可以在解释其中断（以及导致其导致我们已经习惯了以至于我们什至没有意识到它会更好的问题）的问题上做到公义：
- 网络层独立性
- 对等连接
- 资源的命名和位置一致
- 最佳流量路由，主机知道其真实地址
- 追踪恶意流量的来源
- 将数据和控制分为单独的连接的网络协议
让我们看看我是否可以解释每个项目。
网络层独立性
ISP应该只传递第3层数据包，而不关心上面的各层中的内容。无论您是传递TCP，UDP还是更好/更奇特的东西（也许是SCTP？还是比TCP / UDP更好但由于缺乏NAT支持而晦涩的其他协议），您的ISP都不应该关心; 对他们来说，所有这些都应该看起来像数据。
但事实并非如此-当他们实施NAT的“第二波”，即“运营商级” NAT时，并非如此。然后，他们必须要查看并支持您要使用的第4层协议。现在，这实际上意味着您只能使用TCP和UDP。其他协议要么只是被阻止/丢弃（根据我的经验，大多数情况），要么只是转发到使用该协议的NAT“内部”的最后一个主机（我已经看过1个实现此目的的实现）。即使转发到使用该协议的最后一台主机也不是真正的解决方案-两台主机一旦使用它，它就会中断。
我想有一些替代TCP和UDP的协议，正是由于这个问题，这些协议目前未经测试和未使用。不要误会我的意思，TCP和UDP设计出色，令人惊奇的是，它们都能够按比例扩展到我们今天使用互联网的方式。但是谁知道我们错过了什么呢？我已经读过关于SCTP的内容，它听起来不错，但由于NAT而无法使用，因此从未使用过。
点对点连接
这是一个很大的。实际上，我认为最大。如果您有两个最终用户，都位于自己的NAT后面，则无论哪个最终尝试连接，另一个用户的NAT都会丢弃其数据包，并且连接将不会成功。
这会影响游戏，语音/视频聊天（例如Skype），托管您自己的服务器等。
有解决方法。问题在于，这些解决方法要花费开发人员时间，最终用户时间和不便，或服务基础架构成本。而且它们并非万无一失，有时会崩溃。（请参阅其他用户有关Skype中断的评论。）
一种解决方法是端口转发，您可以在其中编程NAT设备以将特定的传入端口转发到NAT设备后面的特定计算机。整个网站致力于如何为所有不同的NAT设备执行此操作。请参阅https://portforward.com/。这通常会浪费最终用户的时间和挫败感。
另一个解决方法是添加对应用程序打孔等功能的支持，并维护不在NAT之后的服务器基础结构以引入两个经过NAT的客户端。这通常会花费开发时间，并使开发人员有可能维护以前不需要的服务器基础结构。
（还记得我所说的关于部署NAT而不是IPv6的问题，将问题的重心从网络管理员转移到了最终用户和应用程序开发人员吗？）
一致的网络资源命名/位置
由于NAT内部使用的地址空间与外部使用不同的地址空间，因此NAT内部设备提供的任何服务都具有多个地址可访问，而正确使用的地址取决于客户端从何处访问它。 。（即使在端口转发工作之后，这仍然是一个问题。）
如果您在NAT内有一个Web服务器，例如在端口192.168.0.23端口80上，并且您的NAT设备（路由器/网关）的外部地址为35.72.216.228，并且您为TCP端口80设置了端口转发，现在可以使用192.168.0.23端口80或35.72.216.228端口80来访问Web服务器。应使用哪个服务器取决于您是在NAT内部还是外部。如果您不在NAT范围内，并且使用192.168.0.23地址，那么您将无法到达预期的位置。如果您在NAT内部，并且使用外部地址35.72.216.228 ，则如果NAT实现是支持发夹的高级实现，则可能会到达您想要的位置。，但是处理您的请求的Web服务器将看到该请求来自您的NAT设备。这意味着，即使NAT后面的网络中的路径较短，所有流量也都必须通过NAT设备，并且这意味着Web服务器上的日志的使用效率将大大降低，因为它们都将NAT设备列为NAT设备的来源。连接。如果您的NAT实现不支持发夹，那么您将无法实现预期的目标。
一旦使用DNS，此问题就会变得更加严重。突然，如果您想让NAT背后托管的某些东西正常工作，您将想根据谁在询问NAT内部托管的服务地址（AKA跨域DNS，IIRC）给出不同的答案。uck
所有这些都假设您拥有有关端口转发，发夹式NAT和水平分割DNS的知识。最终用户呢？当他们购买消费类路由器和一些IP安全摄像机并希望其“正常工作”时，他们有什么机会完成所有这些设置？
这导致我：
最佳流量路由，主机知道其真实地址
如我们所见，即使使用高级发夹式NAT流量也不会始终通过最佳路径。即使在知识渊博的管理员设置服务器并具有发夹式NAT的情况下，也是如此。（允许的，水平分割的DNS可以在网络管理员的手中实现内部流量的最佳路由。）
当应用程序开发人员创建像Dropbox这样的程序并将其分发给不专门配置网络设备的最终用户时，会发生什么情况？具体来说，当我在共享文件中放入4GB文件，然后尝试在下一台计算机上进行访问时，会发生什么情况？它是在机器之间直接传输，还是我必须等待它通过慢速WAN连接上传到云服务器，然后再等待第二次通过相同的慢速WAN连接下载？
对于幼稚的实现，将使用不位于NAT后面的Dropbox的服务器基础结构作为中介来上载然后下载。但是，如果两台计算机只能意识到它们位于同一网络上，那么它们就可以直接更快地直接传输文件。因此，对于我们的首次尝试，我们可能会询问操作系统该机器具有的IP（v4）地址，然后对照在同一Dropbox帐户上注册的其他机器进行检查。如果与我们在同一范围内，则直接传输文件。在很多情况下这可能会起作用。但是即使那样，仍然存在一个问题：NAT只起作用，因为我们可以重用地址。那么，如果192.168.0.23地址和192.168.0呢？在同一个Dropbox帐户上注册的42个地址实际上在不同的网络上（例如您的家庭网络和工作网络）？现在，您必须重新使用Dropbox服务器基础结构进行调解。（最后，Dropbox试图通过让每个Dropbox客户端在本地网络上广播以希望找到其他客户端来解决该问题。但是这些广播没有穿越您在NAT后面可能拥有的任何路由器，这意味着它不是一个完整的解决方案，尤其是在CGN的情况下。）
静态IP
此外，由于第一次短缺（和NAT浪潮）发生在许多用户连接不总是处于连接状态（例如拨号）时，ISP可以通过在实际连接时仅分配公共/外部IP地址来更好地利用其地址。这意味着当您连接时，您将获得可用的任何地址，而不是总是获得相同的地址。这使得运行您自己的服务器变得更加困难，并且使开发对等应用程序变得更加困难，因为它们需要处理四处移动的对等端而不是固定地址。
混淆恶意流量的来源
由于NAT会将传出连接重写为好像来自NAT设备本身一样，因此所有行为，无论好坏，都被汇总到一个外部IP地址中。我没有看到任何NAT设备默认记录每个传出连接。这意味着默认情况下，过去恶意流量的源只能追溯到它经过的NAT设备。尽管可以配置更多的企业级或运营商级设备来记录每个传出连接，但我还没有看到执行此操作的任何消费者路由器。我当然认为，看看ISP在推出时是否会保留通过CGN建立的所有TCP和UDP连接的日志（以及记录多长时间）会很有趣。需要此类记录来处理滥用投诉和数字千年版权法案（DMCA）投诉。
有人认为NAT可以提高安全性。如果是这样，它将通过模糊来实现。NAT强制执行的默认传入流量下降与具有状态防火墙相同。据我了解，任何能够进行NAT所需的连接跟踪的硬件都应该能够运行有状态的防火墙，因此NAT确实不应该在那做任何事情。
使用第二个连接的协议
诸如FTP和SIP（VoIP）之类的协议倾向于将单独的连接用于控制和实际数据内容。每个执行此操作的协议在其通过的每个NAT设备上都必须具有称为ALG（应用程序层网关）的帮助程序软件，或者通过某种介体或打孔解决该问题。以我的经验，ALG很少更新，并且至少是导致我解决涉及SIP的几个问题的原因。每当我听到有人报告说VoIP因为音频只能以一种方式对他们不起作用时，我立即怀疑某个地方有一个NAT网关丢弃UDP数据包，无法弄清楚该怎么做。
综上所述，NAT倾向于打破：
- TCP或UDP的替代协议
- 对等系统
- 访问NAT后面托管的内容
- SIP和FTP之类的东西。解决此问题的ALG如今仍会引起随机和怪异的问题，尤其是对于SIP。
从根本上讲，网络堆栈采用的分层方法相对简单而优雅。尝试向刚接触网络的人解释它，他们不可避免地认为自己的家庭网络可能是一个易于理解的好简单网络。在一些情况下，我已经看到这种情况导致了一些非常有趣（过于复杂）的想法，这些想法是由于内部和外部地址之间的混淆而导致的路由工作方式。
我怀疑如果没有NAT，VoIP将无处不在并与PSTN集成在一起，并且使用手机或计算机拨打电话是免费的（您已经付费的互联网除外）。毕竟，当您和我只能打开64K VoIP流并且与PSTN一样好用时，为什么还要为电话付费？如今看来，部署VoIP的第一大问题是通过NAT设备。
我怀疑，如果我们拥有NAT中断的端到端连接能力，那么我们通常不会意识到可以简单得多的事情。人们仍然通过电子邮件（或Dropbox）自己发送文件，因为核心问题是当两个客户端位于NAT之后时需要中介者。