私有網段裡的主機如何共用少數公有 IP 上網？外面又怎麼連回內網服務？

我們在 IP 定址篇學會解讀 IPv4 與子網路遮罩，知道同網段直送、跨網段交 Gateway。真實家用／公司網路幾乎都長這樣：

• 內網一堆主機用 192.168.x.x / 10.x.x.x 這種私有 IP
• 路由器對外只有少數（常是一個）公有 IP向 ISP 註冊
• 內網要上網 → 路由器做 NAT（Network Address Translation）改寫來源位址
• 外面要連內網服務（自家 NAS、開發機 webhook）→ 靠 Port Forwarding（DNAT）
• 哪些流量能過 → 由防火牆規則把關

本篇把這三件事串成一條可面試、可除錯的因果鏈：公私有 IP 為什麼要分 → NAT 表怎麼記映射 → Port Forwarding 怎麼反向開洞 → 防火牆預設拒／允許的心智模型。

不是「能不能 ping」，而是「網際網路上的路由器肯不肯幫你轉」。

私有 IP（Private / RFC 1918）刻意留給組織內部重複使用。網際網路上的骨幹路由器不會把目的地落在這些網段的封包轉出去——這叫「不可全域路由（non-globally routable）」。反過來說，公有 IP在 IANA／RIR 分配體系裡是唯一的，可由 ISP 公告到全球 BGP。

面試陷阱：127.0.0.0/8 是 loopback、169.254.0.0/16 是 link-local（APIPA），都不是 RFC 1918 私有網段，但同樣不應出現在「對外來源 IP」。

為什麼要這樣設計？IPv4 位址不夠用。若每台筆電都要一顆全球唯一公有 IP，位址空間早耗盡。私有＋NAT 讓「組織內部任意擴張」，對外只消耗少數公有 IP——這是 IPv4 時代的務實妥協，不是長期銀彈（長期方向是 IPv6 端到端定址）。

核心不是「改 IP」 alone，而是「記一張連線狀態表，讓回程找得回路由」。

最常見的家用／辦公室場景是 NAPT（Network Address Port Translation），也常被叫成 PAT 或「IP masquerading」：多台內網主機共用同一個公有 IP，靠不同的來源 port區分連線。

路由器在轉出時改寫封包的 來源 IP（＋常改來源 port），並在 NAT 表（conntrack / translation table）留下一列映射。回程封包目的地是公有 IP:40001 時，路由器查表還原成 10.0.0.8:54321 再送進 LAN——否則內網主機根本收不到回應。

Masquerade 是 SNAT 的動態版：出口 IP 隨介面位址變（DHCP 換 IP 時規則不用重寫）。

NAT 表一列通常至少包含：協議（TCP/UDP）、內網五元組資訊、對外映射的公有 IP:port、對端位址、以及逾時。TCP 有連線狀態可跟較久；UDP 通常用較短 idle timeout。在 Linux 上可用 conntrack -L 直接看這張表：

$ conntrack -L
tcp  6  431999 ESTABLISHED \
    src=10.0.0.8   dst=93.184.216.34 sport=54321 dport=443   \  # 原始方向（內→外）
    src=93.184.216.34 dst=203.0.113.50 sport=443 dport=40001 \  # 回程方向（外→內）
    [ASSURED]

同一筆連線用「原始 + 回程」兩個方向的五元組描述：回程的 dport=40001 就是路由器替 10.0.0.8:54321 分配的對外 port，回來的封包靠它還原。

這也點出 NAPT 的天花板：單一公有 IP 對每個「協議 × 對端 IP:port」大約只有 ~64K 個可用來源 port。連線暴增（大量短連線、P2P、掃描）時 port 會耗盡，或 conntrack 表達到 nf_conntrack_max 上限，表現就是偶發、難重現的連線失敗——正式環境除錯時常見的盲點。

DNAT 在邊界把「打到公有 IP:port」的流量轉寫成「內網主機:port」。

假設你家路由器公有 IP 是 203.0.113.50，內網有一台開發機 10.0.0.20 跑 HTTP :8080。你設定 Port Forwarding：

外部客戶連 203.0.113.50:8080 時，路由器改寫目的 IP（必要時也改目的 port），送進 LAN；回程再做對應的來源改寫，讓客戶端以為一直在跟公有 IP 說話。

雲端對應觀念：Security Group／NLB Listener／Ingress 規則，本質也是「在邊界決定哪些外→內流量被改寫或放行」。家用路由器的 Port Forward 面板，只是同一設計的精簡版。

NAT 負責「怎麼改寫」；防火牆負責「允不允許這類流量存在」。

實務上 NAT 與防火牆常落在同一台路由器／同一套 netfilter（iptables／nftables）規則鏈，但概念要分開：

• 防火牆：依規則決定 ACCEPT／DROP／REJECT（誰可以從哪進、到哪出）
• NAT：在已允許的路徑上改寫位址／port

除錯口訣：先問「封包有沒有被防火牆丟掉」，再問「NAT 有沒有改對」。兩者混淆時，常見現象是：tcpdump 在 WAN 口看到 SYN，但 LAN 口沒有對應封包——可能是入站規則沒放行，或 DNAT 目標寫錯。

以 Linux netfilter 入站轉發為例：DNAT 在 PREROUTING（路由決策前）先改寫目的，過濾則在 FORWARD 鏈判定。順序依 hook 而定，但面試重點不變——「改寫」與「過濾」是兩層獨立決策，別混成一句「開了 port 就好」。

把上述心智模型落成一組最小 iptables 規則，正好看出「改寫（nat 表）」與「過濾（filter 表）」是分開的兩件事：

# 出站放行、入站預設拒絕；永遠放行已建立/相關連線的回程
iptables -P FORWARD DROP
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 改寫：Port Forward 外部 :8080 → 內網 10.0.0.20:8080（DNAT 在 nat 表）
iptables -t nat -A PREROUTING -i wan0 -p tcp --dport 8080 \
         -j DNAT --to-destination 10.0.0.20:8080

# 過濾：還得在 filter 表放行這條新入站，否則 FORWARD 預設 DROP 會擋掉
iptables -A FORWARD -p tcp -d 10.0.0.20 --dport 8080 -j ACCEPT

只寫了 DNAT 卻忘了那條 FORWARD ACCEPT，就是「規則寫了卻沒通」的經典陷阱——改寫成功，但過濾把它擋下。

自己發一筆出站或入站連線，看 NAT 表如何新增列、封包欄位如何被改寫。

何時靠 NAT／Port Forward，何時改用 Tunnel、IPv6 或雲負載均衡。