p2p内网穿透

两年前我在老家调试公司服务器，内网SSH连不上，穿透远程桌面转圈半小时，内网最后只能让同事拍屏幕照片发微信给我看。穿透那台服务器就在上海某个机房里，内网网络明明通着，穿透就是内网够不着。

问题出在NAT上。穿透公司内网服务器没有公网IP，内网路由器做了端口映射，穿透但运营商给的内网是大内网地址，映射等于白搭。穿透这时候有人提了句：用P2P内网穿透试试。内网

P2P穿透的穿透原理其实不复杂。两台设备都在NAT后面，内网各自有私网地址，理论上谁也找不到谁。但如果有台公网服务器当中间人，让两边先打个照面，交换一下各自的公网IP和端口，然后尝试直接建立连接——这就是打洞。打洞成功，数据就不经过中转服务器，点对点直连，速度几乎跑满带宽。

听起来挺美，但现实里打洞经常失败。对称型NAT会随机分配新端口，外部根本猜不到；防火墙策略严格的网络直接丢弃陌生UDP包。我那次调试就遇到这情况，公司出口路由器是典型的对称NAT，打洞打了五分钟没通。最后还是退回中转模式，速度慢点，但好歹能用。

所以现在的穿透工具基本都是混合架构。先尝试P2P直连，失败就自动降级到服务器转发。像Tailscale、ZeroTier这类工具，底层用WireGuard协议，通过DHT分布式哈希表来协调打洞，成功率比传统STUN高不少。它们还搞了个叫DERP的中继服务器，专门兜底，保证你永远连得上。

有个细节很多人忽略：P2P穿透对UDP协议特别友好，TCP打洞要难得多。因为TCP有状态机，连接建立过程的同步问题很棘手。有些工具干脆用UDP封装所有流量，再在应用层模拟TCP的可靠性，这样既享受了UDP的穿透便利，又保留了TCP的传输保证。

实际体验上，P2P穿透最爽的瞬间是看延迟数字。我在杭州连家里的NAS，直连模式下延迟只有3毫秒，跟局域网没区别。但切到中转模式，延迟立刻跳到40毫秒，下载速度也从80MB/s掉到5MB/s。差距就是这么大。

安全方面得留个心眼。P2P连接意味着你的设备IP直接暴露给对方，如果对方是个恶意节点，可能顺着IP摸你其他端口。所以我一般只在可信设备之间开P2P，陌生网络环境强制走中转。好在现代工具都支持访问控制列表，能精确到单台设备。

说到底，P2P穿透不是银弹。它解决的是NAT穿透问题，但解决不了网络质量本身。跨运营商、跨国的连接，就算打洞成功，丢包和抖动照样存在。不过对于绝大多数远程办公、设备管理、私有云访问场景，它比端口映射、VPN中转都实用得多。至少我现在回老家，再也不用让同事拍屏幕了。