NAT和防火墙

网络地址转换（NAT）改写数据报的源或目标地址，有时也改写传输层端口。防火墙根据规则允许、拒绝或记录连接。NAT 不等同于加密或认证，也不能单独作为安全策略。

VPN 所需的网络路径

• 客户端到 VPN 网关的外层协议和端口应能通过路径防火墙。
• 网关必须把授权的内层流量转发到目标网段，并具备回程路由。
• 公网出口 VPN 通常需要在网关上按组织策略配置源 NAT 或上游路由。
• 目标主机防火墙仍可按来源网段、端口和身份限制访问。

常见 WireGuard 部署会使用 UDP 端口（默认示例端口为 51820，但可修改）；OpenVPN 服务常见默认 UDP 1194；IKEv2 通常涉及 UDP 500 和 NAT traversal 使用的 UDP 4500。实际部署可配置为不同值，不能据默认值推断某个站点的规则。

跨平台检查

Windows

Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -Enabled True | Select-Object DisplayName,Direction,Action,Profile

macOS

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
sudo pfctl -sr

macOS 应用防火墙和 PF 规则用途不同；读取到的状态不代表第三方网络过滤器或上游路由器的完整策略。

Linux

sudo nft list ruleset
sudo ip route

以上命令读取本机过滤和路由状态。不要在不了解现有策略、远程维护通道和回滚方案时直接覆盖防火墙规则。

故障定位顺序

分别验证外层端点可达、VPN 握手成功、隧道地址有路由、网关转发可用、返回流量通过，并且目标服务端口实际监听。出现 NAT 时再确认映射超时、端口转发和双向路径。

参考资料

WireGuard 官方快速入门；OpenVPN 2.6 官方手册；strongSwan：IKE 与连接配置。