1. 为什么要在 NAT 网关下抓包看五元组家庭路由器或办公出口网关做 NAT 之后客户端发出的数据包在每一跳上源 IP、源端口、目的 IP、目的端口都可能被改写。很多人配完 NAT 发现「能通」就结束了但一旦出现访问不通、端口映射错位、内网服务器收不到真实来源就完全不知道从哪查。核心检索词就是 NAT、源目端口、源目 IP 的变化这篇文章要解决的就是把一次请求从客户端到公网服务、再回包的过程逐跳拆开看清楚。适合谁看正在学网络基础、准备考华为 HCIA/HCIP 实验、或者在公司里维护出口网关的运维。你不需要很深的底子只要会敲几条命令、能看懂 IP 地址就行。我会用 TaoToken 的统一 Key 作为观测入口因为它的 API 通道稳定、返回结构清晰方便你在抓包时对照请求和响应把 SNAT源地址转换和 DNAT目的地址转换讲透。整篇的路线是先讲清楚 NAT 下五元组到底怎么变再给出可复制的抓包过滤命令、NAT 会话表查看命令然后配一份 config.toml 骨架最后跑一次请求做前后对比验证。全程命令都能直接抄拓扑用经典的双路由器 内网客户端 公网服务器模型。2. TaoToken 前置统一 Key 与 API 通道准备在开始抓包之前先把观测入口准备好。TaoToken 在这里的作用是提供一个稳定的、可复现的公网请求目标这样你抓到的包才有明确的对照物。你需要拿到一个统一 Key然后通过 API 通道发请求。第一步打开官网 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 注册并登录。登录后进入控制台地址是 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 在左侧找到 API Keys 菜单点进去创建一个新的 Key。这个 Key 就是你后面所有请求的凭证格式通常是一串以特定前缀开头的字符串复制下来保存好不要泄露。第二步确认 API 基地址。TaoToken 的 API 入口是 https://taotoken.net/api 注意这个地址不带任何查询参数是纯粹的接口根路径。你发请求时把路径拼在后面即可。如果你用的是 OpenAI 兼容的客户端把 base_url 设成这个地址api_key 设成刚才创建的 Key。第三步验证 Key 是否可用。最简单的办法是用模型对话页面手动发一条消息地址是 https://taotoken.net/model-chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel-chatutm_campaignrewrite 选一个模型输入「ping」看是否有正常返回。有返回说明 Key 和通道都没问题可以进入抓包环节。如果你后面要做长期的编码或 Agent 类任务可以了解下 Coding Plan地址是 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 它更适合高频调用场景。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 遇到参数问题可以对照查。注意Key 只创建一次就够不要在每个实验里重复注册。抓包验证的核心是网络路径不是账号数量。3. 可复制配置抓包过滤、NAT 会话表与 config.toml 骨架这一节是全文的技术核心把三样东西给全抓包过滤命令、NAT 会话表查看命令、config.toml 骨架。你照着抄就能复现。3.1 拓扑与地址规划先明确拓扑。内网客户端 Client1 网段 192.168.1.0/24网关 R1 的 LAN 口 192.168.1.1R1 的 WAN 口 200.1.1.1/29。R2 的 WAN 口 200.1.1.2/29LAN 口 100.1.1.2/24。Server1 在内网 192.168.1.200对外发布为 200.1.1.3:8081。Server2 在 100.1.1.0/24 网段HTTP 内部 100.1.1.200:80 发布为 200.1.1.5:8082FTP 内部 100.1.1.200:1010 发布为 200.1.1.4:2000。R1 上做 Easy IP 方式的 SNAT让 Client1 上网时源地址被转换成 WAN 口地址 200.1.1.1。R1 和 R2 上分别做 nat server 实现 DNAT把公网地址端口映射到内网服务器。3.2 抓包过滤命令在 R1 的 WAN 口抓包看 Client1 访问 Server2 的 HTTP 服务。用 tcpdump 语法Linux 网关或 Wireshark 过滤器都可以这里给 tcpdump 版本直接可复制# 在 R1 WAN 口抓 Client1 到 Server2 发布地址的流量 tcpdump -i eth1 -nn -v host 200.1.1.5 and tcp port 8082 # 同时抓回包确认目的端口是否被还原 tcpdump -i eth1 -nn -v host 200.1.1.1 and tcp port 8082 # 抓内网侧看 DNAT 之后的目的地址变化 tcpdump -i eth0 -nn -v host 100.1.1.200 and tcp port 80如果你在华为设备上做实验用 ACL 抓包# 华为设备抓包匹配源或目的为发布地址 acl number 3000 rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination 200.1.1.5 0 rule 10 permit tcp source 200.1.1.5 0 destination 192.168.1.0 0.0.0.255 quit capture-packet interface Serial4/0/0 acl 3000 destination file nat_test.cap3.3 NAT 会话表查看命令华为设备查看 NAT 会话display nat session all display nat session verboseLinux 网关用 conntrackconntrack -L -p tcp --dport 8082 conntrack -L -p tcp --sport 8082输出里你会看到 original 方向和 reply 方向两组五元组original 是客户端发出的原始五元组reply 是 NAT 转换后的五元组。对照这两组SNAT 和 DNAT 的变化一目了然。3.4 config.toml 骨架如果你用 TaoToken 的 API 做请求验证客户端配置可以写成这样# TaoToken API 配置骨架 [api] base_url https://taotoken.net/api api_key sk-你的Key timeout 30 [request] model gpt-4o-mini max_tokens 256 temperature 0.2 [network] # 抓包时用于标记请求方便在 tcpdump 里过滤 user_agent taotoken-nat-test这个骨架的作用是当你发请求时user_agent 会带上 taotoken-nat-test你在抓包时就能用这个特征快速定位到自己的流量不会被其他请求干扰。4. 验证请求一次访问前后五元组对比现在跑一次真实请求把三个阶段的数据包五元组列出来。以 Client1 访问 Server2 的 HTTP 服务为例目标地址 200.1.1.5:8082。4.1 第一阶段客户端发出Client1 发出请求此时五元组是方向源 IP源端口目的 IP目的端口请求192.168.1.100随机端口 49152200.1.1.58082源端口是客户端随机选的目的地址是 Server2 的发布地址目的端口是发布端口。这一步没有任何转换就是客户端原始发出的包。4.2 第二阶段R1 做 SNAT包到达 R1 的 WAN 口R1 执行 Easy IP 的 SNAT把源地址换成 WAN 口地址 200.1.1.1源端口换成 R1 随机分配的端口方向源 IP源端口目的 IP目的端口请求200.1.1.1随机端口 51200200.1.1.58082注意目的地址和目的端口没变因为 DNAT 是在 R2 上做的。这一步只改了源侧。4.3 第三阶段R2 做 DNAT包到达 R2R2 根据 nat server 规则把目的地址 200.1.1.5:8082 转换成内网真实地址 100.1.1.200:80方向源 IP源端口目的 IP目的端口请求200.1.1.151200100.1.1.20080到这里Server2 收到的请求源地址是 R1 的 WAN 口地址目的地址是自己的内网地址。回包时反向执行R2 先把源地址从 100.1.1.200:80 换回 200.1.1.5:8082R1 再把目的地址从 200.1.1.1:51200 换回 192.168.1.100:49152。4.4 用 TaoToken 请求做对照为了确认抓包结果和实际请求一致用 TaoToken 发一条请求在抓包文件里找 user_agent 为 taotoken-nat-test 的包curl -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的Key \ -H Content-Type: application/json \ -H User-Agent: taotoken-nat-test \ -d {model:gpt-4o-mini,messages:[{role:user,content:ping}]}请求发出后在 tcpdump 输出里对照五元组你会发现公网侧看到的源地址是网关出口地址而不是内网客户端地址。这就是 SNAT 的效果。如果你在模型对话页面手动发消息地址是 https://taotoken.net/model-chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel-chatutm_campaignrewrite 同样能在抓包里看到对应的五元组变化。5. 本篇常见错排查配 NAT 和抓包时最容易踩的坑集中在下面几个。抓不到包先确认抓包接口选对了。R1 上要抓 WAN 口才能看到 SNAT 后的包抓 LAN 口只能看到原始包。华为设备用 display interface brief 确认接口名别把 GigabitEthernet0/0/0 和 Serial4/0/0 搞混。NAT 会话表为空说明流量根本没触发 NAT。检查 ACL 是否匹配、nat outbound 是否绑在正确的接口上。Easy IP 方式下ACL 里 permit 的源网段必须包含客户端地址否则包直接被丢弃。DNAT 不生效nat server 的 global 地址必须是设备上真实存在的接口地址不能是随便写的公网地址。另外 inside 后面的地址端口要和服务器实际监听的一致Server2 的 FTP 内部端口改成了 1010如果你写成 21 就会映射失败。回包方向不对SNAT 和 DNAT 同时存在时回包要按相反顺序还原。如果 R2 上没配到内网的回程路由Server2 的回包会找不到 R1 的 WAN 口地址导致半连接。检查 ip route-static 是否覆盖了 200.1.1.0/29 网段。端口冲突多个 nat server 规则用了同一个 global 地址的不同端口这没问题但如果用了同一个 global 地址的同一个端口后面的规则会覆盖前面的。Server1 用 200.1.1.3:8081Server2 用 200.1.1.5:8082 和 200.1.1.4:2000地址端口都不同不会冲突。抓包文件太大用 ACL 精确匹配别抓全量。上面给的 ACL 3000 只匹配了特定源目地址能大幅减小文件体积。抓完后用 Wireshark 打开过滤 tcp.port 8082 看单条流。如果你在接入 TaoToken 时遇到 401 或 403先检查 Key 是否复制完整、有没有多余空格。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 有完整的错误码说明。需要重新生成 Key 就去 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 。6. 把观测入口固定下来抓包验证 NAT 这件事难点不在命令本身而在于你有没有一个稳定的、可复现的公网请求目标。我试过用随机网站做对照结果每次 IP 和端口都不一样抓包结果没法横向比较。后来把 TaoToken 的统一 Key 作为固定观测入口每次请求的 user_agent 和路径都一致抓到的五元组才有对照价值。你可以这样操作把 config.toml 里的 base_url 固定为 https://taotoken.net/api api_key 用同一个 Key每次实验前先发一条 ping 请求确认通道正常再开始抓包。这样 SNAT 和 DNAT 的每一跳变化都能和请求日志对上。长期做编码或 Agent 任务的话Coding Plan 地址是 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 它适合高频调用。需要管理多个 Key 就去控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 。把观测入口固定下来之后NAT 的五元组变化就不再是黑盒而是一条可以逐跳验证的链路。