发现 NAT 这东西挺好用啊

[Int100]

发现 NAT 这东西挺好用啊，做一层 nat ，不做端口映射，后面的服务器基本不用担心来自公网的爆破了。

[pathletboy]

nat 减速，不如开个防火墙更灵活。

[wheat0r]

本来就好用啊，结合防火墙策略使用有很好的隔离效果。
我们公司即便 IPv6 也是做要 NAT66 的。
但是单独使用 NAT 是没有你以为的安全性的。

[itechify]

web 服务可以用反向代理，没必要 nat ，特殊的开防火墙

[BeautifulSoap]

其实，本质上来说，NAT 就是防火墙的一种形式。。。。。。

[flyqie]

坏消息是对 p2p 也会有一定影响，不同 nat 锥形对 p2p 打洞的影响是不一样的。

[churchmice]

那你穿 10 层 nat,岂不是天下无敌

[coolcoffee]

op 没说到点子上，企业级路由器一条规则就可以丢弃来自外部的请求流量。

NAT 是需要映射表来做流量转发，这个在连接量大的时候就会成为瓶颈。早期的光猫拨号性能不足就是这种情况，所以大家基本上做的第一件事情就是改成桥接。

[loginv2]

@wheat0r 请问你们是什么硬件和软件方案，我一直想弄这个，但是不太了解 ipv6 好像很多设备也不支持，想换也不知道该换什么

[Yuanlaoer]

@churchmice 哈哈哈哈笑死了

[hefish]

将来您还会发现更多好用的，比如 GRE ，OSPF ，IP 。。。

[wheat0r]

@loginv2 #8 我这边小公司，出口就是一个 RouterOS ，内部是三层交换机做 IPv6 SLAAC

[rebeccaMyKid]

@pathletboy 你确定吗？我上个月刚做了简单的测试，家里路由器加一层 NAT ，延迟差别根本无感，网速也没问题。所以减速在哪？

[nomagick]

?
和 NAT 没关系，是存储转发的基本通信方式，
你的包从我手上过，我把它递给下一条还是随手扔了，那还不是我说了算吗，

[est]

不穿衣服住山洞里的确挺舒服的。前提只要你一辈子不用出去。

[Donaldo]

@rebeccaMyKid #12 包多了转发的时候比较考验设备，当然家庭没所谓了。不过防火墙也一样有这个问题。。。

[Donaldo]

@rebeccaMyKid #12 一个是包多，另一个是网络带机量大，NAT 表复杂

[kaedeair]

@wheat0r #2 NAT66 和限制 ipv6 入站数据包转发相比有什么优势么？

[wheat0r]

@kaedeair #17 一些场景下，组织的出口是动态 IPv6 前缀，而内部有多个子网，想把动态的地址通过 DHCPv6 正常分配到不同子网里，配置会比较麻烦，而且三层交换机上的接口地址前缀可能会不可控。总的来说，越复杂的内部网络越可能要用 ULA ，那么出口就要做 NAT66 。

[lslqtz]

@flyqie 即使是 Full cone NAT 也能防止公网的爆破, 因为往往要求内网设备主动打洞. 而且企业网络通常不要求可能不允许员工进行 P2P, 如果是特殊需求那么肯定是能配置网关的.

[bclerdx]

@coolcoffee 请问什么是桥接呢？