1.如何查看本机端口占用

查看本机端口占用情况是网络调试、服务部署和故障排查的常见需求。不同操作系统提供了不同的命令行工具，以下是Windows、Linux、macOS三大平台的详细方法：

✅ 一、通用原理

操作系统内核维护一张“网络连接与监听表”，记录：

• 协议（TCP/UDP）
• 本地地址:端口
• 远程地址:端口（对连接而言）
• 进程 PID 和名称（部分系统支持）

我们通过工具查询这张表。

🖥️ 二、Windows 系统

方法1：netstat（最常用）

:: 查看所有监听的 TCP/UDP 端口 netstat -ano :: 只看监听状态（LISTENING / UDP） netstat -an | findstr LISTEN netstat -an | findstr UDP :: 查看特定端口（如 8080） netstat -ano | findstr :8080

参数说明：

• -a：显示所有连接和监听端口
• -n：以数字形式显示地址和端口（不解析域名/服务名）
• -o：显示进程 PID

🔍根据 PID 找进程名：

tasklist | findstr <PID> :: 例如： tasklist | findstr 1234

💡 提示：可将netstat -ano输出保存到文件后用记事本搜索。

方法2：Get-NetTCPConnection（PowerShell，更现代）

# 查看所有 TCP 监听端口 + 进程 Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess # 查看特定端口（如 3306） Get-NetTCPConnection -LocalPort 3306 # 获取进程名（结合 Get-Process） $pid = (Get-NetTCPConnection -LocalPort 3306).OwningProcess Get-Process -Id $pid | Select-Object ProcessName, Id

✅ 优点：直接关联 PID 和进程名，无需手动查。

方法3：资源监视器（图形界面）

1. 按Ctrl + Shift + Esc打开任务管理器
2. 切换到 “性能” → 底部点击 “打开资源监视器”
3. 切换到 “网络” 选项卡
4. 在 “监听端口” 列表中查看

🐧 三、Linux 系统

方法1：ss（推荐，现代替代netstat）

# 查看所有监听的 TCP/UDP 端口（含进程） sudo ss -tulnp # 参数说明： # -t : TCP # -u : UDP # -l : listening # -n : numeric（不解析服务名） # -p : show process（需要 root 权限才能看到非自己进程）

示例输出：

Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port udp UNCONN 0 0 *:5353 *:* users:(("avahi-daemon",pid=123,fd=12)) tcp LISTEN 0 128 *:22 *:* users:(("sshd",pid=456,fd=3))

🔍 查找特定端口：

sudo ss -tulnp | grep :8080

方法2：netstat（传统，部分系统已弃用）

# 安装（如未安装）： # Ubuntu/Debian: sudo apt install net-tools # CentOS/RHEL: sudo yum install net-tools sudo netstat -tulnp | grep :8080

方法3：lsof（功能强大）

# 查看哪些进程打开了 8080 端口 sudo lsof -i :8080 # 查看所有网络连接 sudo lsof -i # 只看 UDP sudo lsof -i UDP

输出示例：

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME nginx 1234 root 6u IPv4 12345 0t0 TCP *:http (LISTEN)

✅ 优点：直接显示进程名、用户、协议，非常直观。

🍎 四、macOS 系统

macOS 基于 BSD，命令与 Linux 类似：

方法1：lsof（最推荐）

# 查看占用 8080 端口的进程 sudo lsof -i :8080 # 查看所有监听端口 sudo lsof -i -sTCP:LISTEN

方法2：netstat

netstat -anv | grep LISTEN # 注意：macOS 的 netstat 不显示进程名

方法3：sockstat（部分 BSD 系统有，macOS 默认无）

🔍 五、快速定位“谁占用了我的端口？”

⚠️ 六、注意事项

1. 权限问题：

   • 查看其他用户进程的端口占用通常需要sudo（Linux/macOS）或管理员权限（Windows）。
   • 普通用户只能看到自己的进程。

2. UDP 无“连接”概念：

   • UDP 只有“监听”（bound），没有 LISTEN 状态，用UNCONN或直接显示端口。

3. 端口范围：

   • 0~1023：需 root 才能绑定
   • 查看时若发现未知进程占用 80、443、22 等端口，需警惕安全风险。

4. IPv4 vs IPv6：

   • 工具会分别显示*:80（IPv4）和[::]:80（IPv6），注意区分。

🛠️ 七、在 Qt 程序中检测端口占用（编程方式）

虽然不能直接获取占用进程，但可尝试绑定判断是否可用：

bool isPortAvailable(quint16 port) { QUdpSocket socket; bool available = socket.bind(QHostAddress::Any, port, QUdpSocket::DontShareAddress); if (available) { socket.close(); } return available; }

❗ 缺点：只能知道“能否绑定”，无法知道“被谁占用”。

2.端口的本质是什么

端口（Port）的本质是操作系统用于区分同一台主机上不同网络通信进程或服务的逻辑标识符。它不是物理设备，而是一个16 位的整数（0~65535），与 IP 地址结合使用，构成“套接字地址（Socket Address）”：IP地址:端口号。

一、为什么需要端口？

一台计算机可以同时运行多个网络程序（如浏览器、微信、Web 服务器、数据库等），它们都通过同一个网卡收发数据。
问题：当一个 UDP 或 TCP 数据包到达时，操作系统如何知道该交给哪个程序？

✅答案：靠目标端口号！

• IP 地址 → 定位到哪台主机
• 端口号 → 定位到主机上的哪个应用程序/服务

🌰 举例：

• 192.168.1.100:80→ Web 服务器（HTTP）
• 192.168.1.100:443→ HTTPS 服务
• 192.168.1.100:53→ DNS 服务
  即使 IP 相同，端口不同，就是完全不同的通信终点。

二、端口的技术本质

1.传输层的概念

端口属于传输层（Transport Layer）（TCP/UDP 层），在 IP 包内部的 TCP 或 UDP 头部中定义：

[ IP Header ][ TCP/UDP Header ][ Payload ] ↑ 包含源端口 + 目标端口（各2字节）

• 源端口（Source Port）：发送方进程使用的端口（通常由系统自动分配）
• 目标端口（Destination Port）：接收方服务监听的端口（如 80、53）

2.操作系统的“多路分解”机制

当数据包到达：

1. 内核根据目标 IP + 目标端口查找“绑定表”（bind table）
2. 找到对应已bind()的 socket
3. 将数据放入该 socket 的接收缓冲区
4. 应用程序通过readDatagram()或read()取走数据

🔍 这个过程叫Demultiplexing（多路分解）

三、端口的分类（按编号）

💡 当你用QUdpSocket发送数据但未调用bind()，系统会自动从动态端口范围分配一个源端口。

四、端口与 Socket 的关系

• 一个端口可以被多个 socket 绑定吗？

  • 默认：不可以（Address already in use）
  • 特殊情况：使用SO_REUSEADDR（Qt 中为ShareAddress）可允许多个 socket 绑定同一端口，常见于：
    • UDP 广播/组播接收
    • TCP 的TIME_WAIT快速重用（服务器重启）

• 一个 socket 只能绑定一个端口，但一个端口在特定条件下可被多个 socket 共享。

五、UDP vs TCP 的端口使用差异

✅ 重点：端口本身不区分 UDP/TCP！
192.168.1.100:53上可以同时运行UDP DNS和TCP DNS（因为协议不同，内核视为两个独立通道）。

六、常见误解澄清

七、在 Qt 中的体现

// 绑定到 8888 端口（UDP） udpSocket->bind(QHostAddress::Any, 8888); // 发送时指定目标端口 udpSocket->writeDatagram(data, QHostAddress("1.2.3.4"), 53); // 发给 DNS 服务 // 获取本机实际使用的端口（若 bind(0)） quint16 myPort = udpSocket->localPort();

总结：端口的本质

端口是传输层用于标识通信端点的逻辑编号，使得单台主机能同时支持多个网络应用，实现“多路复用”与“多路分解”。它是网络编程中连接“网络世界”与“应用程序”的关键桥梁。

2.端口扫描原理

端口扫描（Port Scanning）是网络安全中用于探测目标主机上开放端口、运行服务及其潜在漏洞的一种技术。其基本原理是向目标主机的特定端口发送探测数据包，并根据返回的响应来判断该端口的状态（如开放、关闭或被过滤）。以下是端口扫描的核心原理和常见类型：

一、端口状态分类

1. 开放（Open）
   目标端口正在监听连接请求，可以接受通信。

2. 关闭（Closed）
   端口存在但未监听，通常会返回拒绝连接的响应（如 TCP RST 包）。

3. 被过滤（Filtered）
   防火墙或网络设备阻止了探测包，无响应或返回 ICMP 错误。

4. 未过滤（Unfiltered）
   探测收到响应，但无法确定端口是否开放（多见于 UDP 扫描）。

5. 开放|被过滤（Open|Filtered）
   常见于 UDP 扫描：无响应可能是端口开放但无服务回应，也可能是被防火墙过滤。

###二、常见端口扫描技术

1.TCP Connect() 扫描（全连接扫描）

• 使用操作系统提供的connect()系统调用。
• 若连接成功 → 端口开放；若被拒绝（RST）→ 关闭。
• 优点：简单可靠。
• 缺点：容易被日志记录，隐蔽性差。

2.TCP SYN 扫描（半开放扫描）

• 发送 TCP SYN 包，不完成三次握手。
  • 收到 SYN/ACK → 端口开放（发送 RST 终止连接）。
  • 收到 RST → 端口关闭。
  • 无响应 → 可能被过滤。
• 优点：速度快、隐蔽性强（不建立完整连接）。
• 缺点：需 root 权限（构造原始数据包）。

3.TCP FIN / Xmas / Null 扫描

• 发送异常 TCP 包（如只有 FIN 标志、或所有标志位清零等）。
• RFC 规定：关闭端口应返回 RST，开放端口通常忽略。
• 用途：绕过某些无状态防火墙。
• 局限：对 Windows 主机无效（不严格遵循 RFC）。

4.UDP 扫描

• 向 UDP 端口发送空数据包或协议特定载荷。
  • 收到 ICMP “端口不可达” → 端口关闭。
  • 收到应用层响应 → 端口开放。
  • 无响应 → 可能开放或被过滤（不可靠）。
• 挑战：UDP 无连接，响应不确定，速度慢。

5.ACK 扫描

• 主要用于探测防火墙规则（是否为有状态）。
• 不用于判断端口开放，而是判断端口是否被过滤。

6.Idle Scan（空闲扫描）

• 利用第三方“僵尸主机”进行间接扫描，完全匿名。
• 通过分析 IP ID 字段变化推断目标端口状态。
• 优点：高度隐蔽。
• 缺点：实现复杂，依赖特定主机。

三、应用场景

• 安全审计：发现不必要的开放服务。
• 渗透测试：识别攻击入口点。
• 网络管理：监控服务可用性。
• 恶意攻击：攻击者侦察目标系统。

四、防御措施

• 配置防火墙（限制入站连接）。
• 使用入侵检测系统（IDS）监控扫描行为。
• 关闭非必要服务，减少攻击面。
• 启用端口敲门（Port Knocking）等高级访问控制。

端口扫描本身是中立技术，合法用于安全评估，但未经授权的扫描可能违反法律或政策。常用工具包括Nmap、Masscan、ZMap等。

3.有哪些工具可以用于端口扫描？

以下是常用且专业的端口扫描工具，广泛应用于网络安全、渗透测试、系统管理等领域。它们各有特点，适用于不同场景：

✅ 1.Nmap（Network Mapper）

• 类型：全能型网络探测工具
• 平台：Windows / Linux / macOS
• 特点：
  • 支持多种扫描技术（SYN、Connect、UDP、FIN、Idle 等）
  • 可识别操作系统、服务版本（-sV）
  • 内置NSE（Nmap Scripting Engine）脚本引擎，支持漏洞检测（如http-sql-injection.nse）
  • 主机发现、防火墙绕过、输出格式丰富
• 典型命令：

  nmap -sS -p 1-1000 192.168.1.1 # SYN 扫描前1000端口 nmap -sV -O 192.168.1.1 # 服务版本 + OS 识别 nmap -p 80,443,22 --open target.com # 仅显示开放端口

• 适用人群：安全工程师、渗透测试员、运维人员

✅ 2.Masscan

• 类型：超高速大规模端口扫描器
• 平台：Linux / Windows（需编译）
• 特点：
  • 每秒可扫描数十万甚至百万级端口
  • 使用自定义 TCP/IP 协议栈，不依赖操作系统
  • 适合扫描整个互联网或大型网段
• 局限：功能较单一（主要做端口探测，不识别服务/OS）
• 典型命令：

  masscan 192.168.1.0/24 -p 80,443 --rate=1000 masscan 0.0.0.0/0 -p 22 --rate=100000 # 扫描全网 SSH（需授权！）

• 适用场景：大规模资产测绘、互联网范围扫描

✅ 3.ZMap

• 类型：快速单包扫描工具（类似 Masscan）
• 平台：Linux（主流）
• 特点：
  • 专为单端口全网扫描优化（如只扫 443 端口）
  • 极低资源占用，速度快
  • 常用于学术研究或安全监测
• 典型用途：扫描全球 HTTPS 服务器、DNS 服务等
• 注意：不支持多端口同时精细扫描

✅ 4.Netcat（nc）

• 类型：网络“瑞士军刀”
• 平台：几乎所有系统内置
• 特点：
  • 可手动连接指定端口，验证连通性
  • 脚本友好，常用于简单探测
• 示例：

  nc -zv 192.168.1.1 22 # 测试 SSH 是否开放 nc -z 192.168.1.1 1-100 # 批量测试（部分版本支持）

• 优点：轻量、无需安装
• 缺点：无批量高级功能，速度慢

✅ 5.Telnet

• 传统方式：通过尝试建立 Telnet 连接判断端口是否开放
• 示例：

  telnet 192.168.1.1 80

• 若连接成功 → 端口开放；若失败 → 关闭或过滤
• 局限：现代系统常禁用 Telnet 客户端，且不支持 UDP

✅ 6.Angry IP Scanner

• 类型：图形化轻量扫描工具
• 平台：Windows / Linux / macOS
• 特点：
  • 界面友好，适合初学者
  • 快速扫描局域网 IP 和端口
  • 支持插件扩展（Ping、NetBIOS 等）
• 适用场景：内网主机发现、基础端口检查

✅ 7.Metasploit Framework（辅助扫描）

• 虽非专用扫描器，但集成 Nmap 并提供自动化模块：

  use auxiliary/scanner/portscan/tcp set RHOSTS 192.168.1.0/24 run

✅ 8.在线端口扫描工具（谨慎使用）

• 如站长之家、YouGetSignal、Hackertarget 等提供的 Web 扫描器
• 优点：无需安装
• 风险：
  • 扫描记录可能被第三方保存
  • 无法扫描内网
  • 可能违反服务条款
• 建议：仅用于公网初步测试，切勿用于敏感目标

⚠️ 注意事项

• 合法性：未经授权扫描他人系统可能违法（如违反《网络安全法》）
• 道德规范：仅在授权范围内使用（如渗透测试合同、CTF、自家网络）
• 防御提示：企业应部署 IDS（如 Snort）、防火墙日志监控异常扫描行为

总结推荐

📌最佳实践：日常工作中，Nmap 是首选；需要速度时用Masscan；临时排查用nc。

4.防火墙如何基于端口过滤

防火墙基于端口过滤是一种常见的网络安全控制机制，主要用于控制进出网络的数据流量，依据的是传输层（如 TCP 或 UDP）的源端口和/或目标端口。以下是其工作原理和实现方式的详细说明：

一、基本原理

在网络通信中，每个数据包都包含源 IP 地址、目标 IP 地址、源端口和目标端口等信息。防火墙通过检查这些字段，特别是端口号，来决定是否允许该数据包通过。

• TCP/UDP 端口范围：0–65535
  • 0–1023：知名端口（Well-known ports），如 HTTP(80)、HTTPS(443)、SSH(22)
  • 1024–49151：注册端口（Registered ports）
  • 49152–65535：动态/私有端口（Ephemeral ports）

二、端口过滤的类型

1. 入站（Inbound）端口过滤
   控制外部主机能否连接到本机的某个服务端口。
   例如：只允许外部访问 Web 服务器的 80 和 443 端口，拒绝其他所有入站连接。

2. 出站（Outbound）端口过滤
   控制本机能否向外连接特定端口。
   例如：禁止员工电脑访问 FTP（端口 21）或 P2P 软件常用端口。

3. 双向端口过滤
   同时限制入站和出站的端口通信。

三、实现方式（以常见防火墙为例）

1.Linux iptables

# 允许入站访问 80 端口（HTTP） iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 拒绝所有其他入站 TCP 连接 iptables -A INPUT -p tcp -j DROP # 允许本机向外访问 DNS（UDP 53） iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

2.Windows 防火墙（高级安全）

• 通过“入站规则”或“出站规则”新建规则
• 选择“端口”作为规则类型
• 指定协议（TCP/UDP）和端口号（如 3389 用于远程桌面）
• 设置允许或阻止操作

3.硬件防火墙 / 网络设备（如 Cisco ASA、FortiGate）

• 使用 ACL（访问控制列表）配置
• 示例（Cisco ASA）：

  access-list OUTSIDE_IN extended permit tcp any host 192.168.1.10 eq 443 access-group OUTSIDE_IN in interface outside

四、注意事项

• 仅靠端口过滤不够安全：攻击者可使用非标准端口运行恶意服务（如在 8080 上运行 SSH），因此需结合应用层检测（如 DPI 深度包检测）。
• 状态检测防火墙更有效：现代防火墙多为状态检测型（Stateful Inspection），不仅看端口，还跟踪连接状态（如是否为已建立会话的响应包）。
• 避免过度开放高端口：临时端口范围（如 32768–65535）常被用于回连，若无必要不应全部开放。

五、典型应用场景

通过合理配置端口过滤规则，可以显著减少攻击面，提升系统安全性。但建议将其作为纵深防御体系中的一环，配合入侵检测、日志审计、补丁管理等措施共同使用。

5.NAT 中的端口映射（PAT）

在网络地址转换（NAT）中，端口地址转换（Port Address Translation, PAT），也常被称为NAT 重载（NAT Overload），是一种允许多个内部私有 IP 地址通过共享一个或少数几个公网 IP 地址访问外部网络（如互联网）的技术。PAT 是 NAT 最常见的形式之一，尤其在家庭和小型企业网络中广泛使用。

一、PAT 的基本原理

PAT 不仅转换源 IP 地址，还转换源端口号，从而在单一公网 IP 上区分多个内部主机的会话。

• 内部主机：使用私有 IP（如 192.168.1.x）和任意源端口（如 50000）发起连接。
• 路由器/NAT 设备：将私有 IP + 源端口 映射为 公网 IP + 唯一的源端口（如 203.0.113.10:62001）。
• 返回流量：外部服务器回包到公网 IP 的该端口，NAT 设备根据映射表将数据转发回正确的内部主机。

📌 关键点：同一个公网 IP 可以同时代表成百上千个内部设备，靠的是端口号的唯一性。

二、PAT 的工作流程示例

假设：

• 内部网络：192.168.1.0/24
• 路由器公网 IP：203.0.113.10
• 两台主机 A（192.168.1.10）和 B（192.168.1.11）同时访问 www.example.com（IP: 93.184.216.34）

当响应返回时：

• 目标端口 62001 → 转发给 A
• 目标端口 62002 → 转发给 B

三、PAT 的优点

• 节省公网 IP 地址：只需一个公网 IP 即可支持整个局域网上网。
• 增强安全性：内部主机对公网不可见，隐藏了拓扑结构。
• 部署简单：大多数家用路由器默认启用 PAT。

四、PAT 的局限性

• 端口数量限制：理论上一个 IP 最多 65535 个端口，但实际可用端口更少（通常 1024–65535 用于客户端），因此单个公网 IP 理论上最多支持约 6 万个并发连接（实际受内存、性能限制）。
• 不支持入站连接：除非配置端口转发（Port Forwarding）或使用 UPnP。
• 破坏端到端通信：某些 P2P 应用、VoIP 或游戏可能因 NAT 穿透失败而无法正常工作。

五、PAT 与静态 NAT / 动态 NAT 的区别

六、相关术语

• NAPT（Network Address Port Translation）：PAT 的正式名称。
• 端口转发（Port Forwarding）：手动将公网 IP 的某个端口映射到内部特定主机，用于允许外部主动连接（如搭建 Web 服务器）。
• CGNAT（Carrier-Grade NAT）：运营商级 PAT，多个用户共享一个公网 IP，常见于 IPv4 地址枯竭地区。

6.PAT 的基本原理

PAT（Port Address Translation，端口地址转换）是 NAT（Network Address Translation，网络地址转换）的一种扩展形式，也常被称为NAPT（Network Address Port Translation）。它的基本原理是在进行地址转换的同时，利用传输层的端口号来区分不同的内部主机通信流，从而允许多个内部私有 IP 地址共享一个或少数几个公网 IP 地址访问外部网络。

一、PAT 的核心思想

• 多个私有 IP → 一个公网 IP + 不同端口
• 利用IP 地址 + 端口号的组合唯一标识一个会话。
• 路由器或防火墙在转发数据包时，动态修改源 IP 和源端口，并维护一张NAT 转换表（也称 PAT 表）用于回程数据包的正确转发。

###二、工作流程（以出站连接为例）

1. 内网主机 A（192.168.1.10:5000）向外网服务器（203.0.113.5:80）发起 HTTP 请求。
2. 数据包到达启用了 PAT 的路由器。
3. 路由器将源地址改为自己的公网 IP（如 203.0.113.100），并分配一个唯一的源端口（如 60000）。
   • 新数据包：源 = 203.0.113.100:60000，目的 = 203.0.113.5:80
4. 路由器在 PAT 表中记录：

   内部地址:端口 → 公网地址:端口 192.168.1.10:5000 → 203.0.113.100:60000

5. 外网服务器响应时，目标为 203.0.113.100:60000。
6. 路由器查 PAT 表，将目标地址还原为 192.168.1.10:5000，并转发给内网主机。

三、PAT 的优势

• 节省公网 IP 地址：成百上千台内网设备可共用一个公网 IP。
• 增强安全性：内网结构对外不可见，隐藏了真实拓扑。
• 透明性：对应用层基本透明（除某些依赖 IP 的协议如 FTP 需要 ALG 支持）。

四、局限性

• 端口数量限制：理论上每个公网 IP 最多支持约 65,535 个并发连接（实际更少，因系统保留端口）。
• 不适用于所有协议：某些协议（如 IPsec、SIP）在 NAT/PAT 下可能失效，需额外处理（如 NAT-T、STUN）。
• 无法直接从外网主动访问内网主机（除非配置端口转发或使用 UPnP）。

五、典型应用场景

• 家庭/小型办公室路由器（如 TP-Link、华为等默认启用 PAT）
• 企业边界防火墙
• 云服务中的私有子网出口网关

总结：
PAT 通过“IP + 端口”的映射机制，实现了多对一的地址复用，是现代互联网中解决 IPv4 地址枯竭问题的关键技术之一。

7.PAT 与静态 NAT / 动态 NAT 的区别

在网络地址转换（NAT, Network Address Translation）技术中，PAT（Port Address Translation）、静态 NAT（Static NAT）和动态 NAT（Dynamic NAT）是三种常见的实现方式。它们在映射方式、使用场景和资源利用等方面有明显区别。以下是它们的核心区别：

1. 静态 NAT（Static NAT）

• 定义：一对一的固定映射，将一个私有 IP 地址永久映射到一个公有 IP 地址。
• 特点：
  • 映射关系是手动配置且固定的。
  • 通常用于需要从外部网络访问内部服务器（如 Web 服务器、邮件服务器）。
• 示例：
  • 内部 IP192.168.1.10→ 公网 IP203.0.113.10
• 优点：简单、可预测。
• 缺点：每个内网主机都需要一个公网 IP，浪费公网地址资源。

2. 动态 NAT（Dynamic NAT）

• 定义：多对多的临时映射，从一个公网 IP 池中动态分配地址给内网主机。
• 特点：
  • 内网主机发起连接时，从预定义的公网 IP 池中选择一个未使用的 IP 进行映射。
  • 映射在会话结束后释放，供其他主机使用。
• 要求：公网 IP 数量 ≥ 同时上网的内网主机数。
• 示例：
  • 内网192.168.1.0/24→ 公网池203.0.113.10–203.0.113.20
• 优点：比静态 NAT 更灵活。
• 缺点：仍需较多公网 IP，不能解决 IPv4 地址枯竭问题。

3. PAT（Port Address Translation）

又称为NAT Overload

• 定义：多对一的映射，多个私有 IP 共享同一个公网 IP，通过端口号区分不同会话。
• 特点：
  • 利用传输层端口号（TCP/UDP）来区分不同内网主机的流量。
  • 是目前最常用的 NAT 形式（家庭路由器、企业出口普遍使用）。
• 示例：
  • 192.168.1.10:5000→203.0.113.1:62000
  • 192.168.1.11:5001→203.0.113.1:62001
• 优点：
  • 极大节省公网 IP 资源（成百上千内网主机可用一个公网 IP 上网）。
• 缺点：
  • 不支持外部主动发起连接到内网主机（除非配置端口转发）。
  • 某些协议（如 IPsec、某些 P2P 应用）可能受影响。

对比总结表：

补充说明：

• PAT 是动态 NAT 的一种扩展形式，但因其广泛使用和独特机制，常被单独分类。
• 在 Cisco 设备配置中，PAT 通常通过overload关键字实现（如ip nat inside source list 1 interface Gig0/0 overload）。