1. 课程导入与工程全景

在互联网上，绝大多数终端并不拥有可直接被外部访问的公网地址。家庭路由器、企业防火墙、运营商级 NAT（CGNAT）以及云主机的安全组，共同把“谁可以主动连谁”变成了一件需要精心设计的事情。UDP NAT穿透与P2P通信要解决的核心问题，就是让两个位于不同私网、彼此都不知道对方公网映射的端点，在中间设备的限制下建立一条可用的双向数据通道。

理解这个问题，先要理解 NAT 的行为。当内网主机 192.168.1.10:50000 向公网服务器 203.0.113.5:3478 发送一个 UDP 包时，NAT 会分配一个公网映射，例如 198.51.100.7:62000，并在映射表中记录：内网 192.168.1.10:50000 ↔ 外网 198.51.100.7:62000 ↔ 对端 203.0.113.5:3478。此后，只有符合该映射规则的回包才能被正确转发回内网。不同 NAT 对“对端”这一维度的处理方式不同，直接决定了穿透的难度。

从工程视角看，NAT 大致可分为四类：全锥形 NAT、地址受限锥形 NAT、端口受限锥形 NAT 和对称 NAT。前三类在“同一内网端点向同一外部目标发送后，映射是否允许其他外部地址回包”上逐步收紧；对称 NAT 则对每个不同的外部目标分配不同的公网端口，使得双方无法通过预先交换的候选地址直接命中。实际网络中，运营商 CGNAT 和部分企业防火墙常表现为对称 NAT 或端口受限 NAT，这也是 P2P 打洞失败的主要原因。

典型应用场景决定了技术选型的边界。实时音视频通话要求端到端延迟低于 150 ms，优先走 P2P 直连；文件传输和局域网发现类应用可以接受短暂的中继；在线游戏对丢包和抖动敏感，通常需要 UDP 打洞加 FEC 冗余；物联网设备远程访问则常受限于设备侧无法监听端口，需要反向连接或中继。不同场景对“穿透成功率、延迟、带宽成本、隐私”的权重不同，工程上不存在一套万能参数。

本课程的学习路线图按“先看清问题，再动手实现，最后调优排障”组织。第一阶段建立 NAT 行为模型，理解映射、过滤、超时三个关键维度；第二阶段掌握 STUN 绑定请求与响应，学会从 XOR-MAPPED-ADDRESS 中读取公网映射；第三阶段实现信令交换与 ICE 候选收集，理解 host、srflx、relay 三类候选的优先级；第四阶段完成 UDP 打洞与保活，处理对称 NAT 下的失败回退；第五阶段引入 TURN 中继、加密与鉴权，形成可上线的 P2P 通信模块；最后通过抓包、日志与状态机排查穿透失败、单向通、映射过期等典型故障。

需要提前建立的一个关键认知是：NAT 穿透不是“破解”NAT，而是利用 NAT 自身的映射规则，让双方在合法范围内互相“开门”。打洞成功的本质，是 A 向 B 的公网候选地址发包，使 NAT-A 建立一条允许 B 回包的映射；同时 B 也向 A 发包，使 NAT-B 建立对称的映射。两个方向的动作必须在映射超时前完成，且双方使用的端口必须与信令交换的候选一致。若任一侧是对称 NAT，预先交换的候选端口与实际发包端口不一致，打洞就会失败，此时只能依赖中继。

从数据流角度看，一次完整的 P2P 建立包含五类报文：向 STUN 服务器发送 Binding Request 获取 srflx 候选；通过信令通道交换候选列表；向对端候选地址发送 STUN Binding Request 进行连通性检查；收到 Success Response 后标记该候选对为可用；随后用 Data Indication 或应用层心跳维持映射。工程实现中，常把连通性检查与保活合并为同一套定时器，间隔通常取 15～25 秒，低于多数 NAT 的 UDP 映射超时（常见 30～120 秒）。