2. IPv4地址耗尽与NAT技术演进

IPv4地址空间为32位，理论总量约43亿个地址。这个数字在互联网早期看似充裕，但地址分配采用"先到先得"的粗放模式，加上早期A类地址块被整块分配给大型机构，导致可用地址迅速碎片化。到2011年IANA将最后一批IPv4地址分配给五大区域互联网注册机构时，全球IPv4地址池正式耗尽。地址耗尽并不意味着互联网立刻停摆，而是意味着新设备、新用户、新业务无法再获得全球唯一的公网IPv4地址。NAT（Network Address Translation，网络地址转换）正是在这一约束下被广泛部署的核心应对技术。

NAT的根本作用，是在私有地址域与公网地址域之间建立映射关系，让多台内部主机共享少量公网地址访问外部网络。RFC 1918定义的私有地址段包括10.0.0.0/8、172.16.0.0/12和192.168.0.0/16，这些地址不会在公网路由中出现，因此可以在不同组织内部重复使用。NAT设备通常部署在私有网络与公网的边界，例如企业出口路由器或防火墙。理解NAT，关键是理解"映射"：内部主机的私有地址和端口，如何被转换为公网地址和端口，以及返回流量如何被正确还原。

静态NAT：一对一的固定映射

静态NAT建立的是私有地址与公网地址之间一对一的永久映射。例如将内部服务器192.168.1.10固定映射为公网地址203.0.113.10，任何从公网发往203.0.113.10的流量都会被转发到192.168.1.10。这种映射关系由管理员手工配置，不会因流量有无而改变。静态NAT适合需要被外部主动访问的服务器，如Web、邮件或VPN网关。它的优点是行为可预测、双向可达；缺点是每个内部地址都消耗一个公网地址，无法缓解地址短缺，只解决了地址隐藏和可达性问题。

动态NAT：从地址池中临时分配

动态NAT维护一个公网地址池，当内部主机发起对外连接时，设备从池中分配一个空闲公网地址，并在会话期间保持映射，会话结束后地址被回收。例如地址池为203.0.113.20至203.0.113.30，内部主机192.168.1.20访问外网时可能被转换为203.0.113.20。动态NAT提高了地址利用率，但同一时刻可上网的内部主机数量仍受地址池大小限制。如果池中地址耗尽，新的连接请求将被拒绝。因此动态NAT适用于内部主机数量略大于公网地址数量的场景，而非大规模用户共享。

NAPT：地址与端口双重转换

NAPT（Network Address Port Translation）又称PAT或地址端口复用，是当前最普遍的NAT形式。它不仅转换IP地址，还转换传输层端口号，从而让成百上千台内部主机共享同一个公网地址。例如内部主机192.168.1.20:5001访问外网时，被转换为203.0.113.5:40001；另一台主机192.168.1.21:5001则被转换为203.0.113.5:40002。NAT设备维护一张转换表，记录"私有IP:端口 ↔ 公网IP:端口"的对应关系，返回流量依据目的端口查表还原。NAPT把可用的连接数从"地址数"扩展到"地址数×端口数"，单公网地址理论上可支撑约6.4万个并发连接，极大缓解了地址压力。

端口映射：让外部主动访问内部服务

NAPT默认只允许内部主动发起连接，外部无法直接访问内部主机。端口映射（Port Forwarding）通过手工配置一条静态规则，把公网地址的某个端口固定转发到内部某台主机的指定端口。例如将203.0.113.5:8080映射到192.168.1.10:80，外部用户访问203.0.113.5:8080时即可到达内部Web服务器。端口映射本质上是NAPT表项的一种静态预设，常用于对外发布服务。配置时需注意端口冲突、安全暴露面以及内部主机地址变化导致映射失效等问题。

NAT444：多层NAT的过渡方案

当运营商也面临公网地址不足时，会在用户侧NAT之外再叠加一层运营商级NAT（CGN），形成"NAT444"结构：用户私有地址→用户侧NAT→运营商私有地址→运营商NAT→公网地址。两层NAT使地址复用率进一步提高，但也带来端口分配冲突、日志溯源困难、P2P和VoIP穿透复杂等问题。NAT444是IPv6全面部署前的过渡手段，其代价是网络透明性和可管理性下降。

NAT的代价与演进方向

NAT虽然延长了IPv4的生命周期，但破坏了端到端透明性：外部无法直接定位内部主机，应用层协议若在载荷中携带IP地址或端口（如SIP、FTP主动模式）需要ALG协助才能穿越NAT。此外，NAT设备成为会话状态的单点，转换表容量和超时策略直接影响并发能力。正因如此，IPv6的128位地址空间才是根本解法，而NAT444、DS-Lite、MAP-E等只是过渡期的工程折中。掌握NAT各类形态的映射逻辑，是理解后续IPv6迁移方案的基础。