P2P内网穿透核心原理 - NAT穿透/“打洞”
P2P内网穿透核心原理 NAT穿透 / 打洞技术详解 打洞核心思想 ：利用拥有公网IP的服务器作为介绍人，引导两个内网客户端相互发送数据包，在各自的NAT设备上凿出临时孔洞，从而建立直
“打洞”核心思想 ：利用拥有公网IP的服务器作为“介绍人”，引导两个内网客户端相互发送数据包，在各自的NAT设备上“凿”出临时孔洞，从而建立直接连接，无需服务器中转数据。
本文以最常见的 UDP打洞 为例，详细拆解P2P内网穿透的完整过程，帮助理解其底层逻辑。
一、场景设定
前提条件 ：A和B已分别与服务器S建立稳定的UDP连接。此时S会记录A、B在各自NAT上的公网映射地址，例如：
- S识别到A的公网映射地址：5.6.7.8:62000
- S识别到B的公网映射地址：8.9.10.11:31000
UDP打洞完整流程图示
二、UDP打洞完整步骤
1. 注册阶段：建立映射，服务器“识人”
- A和B分别向服务器S发送UDP数据包，完成“注册”。
-
NAT A 收到A的数据包后，创建会话映射：
(内网 192.168.1.100:1234) ↔ (外网 5.6.7.8:62000) ↔ (目标 1.2.3.4:9999)，并将数据包源地址转换为自身公网IP和端口。 -
NAT B 同理，为B创建会话映射：
(内网 10.0.0.200:5678) ↔ (外网 8.9.10.11:31000) ↔ (目标 1.2.3.4:9999)。 - 最终服务器S获取到A、B的公网映射地址，完成“识人”过程。
2. 打洞请求与“凿洞”：相互发起，NAT放行
- A向服务器S发送连接请求：“我想与B直接连接”。
- 服务器S作为“介绍人”，将B的公网地址（8.9.10.11:31000）告知A，同时将A的公网地址（5.6.7.8:62000）告知B。
- 关键操作 ：A和B同时向对方的公网地址发送UDP数据包。
3. “洞”的凿穿逻辑：NAT临时放行规则
核心原理：NAT设备会根据“内网主动发起连接”的行为，临时开放对应外部地址的回流通道。
- A发送的数据包到达NAT B时，NAT B初始无对应会话映射，会丢弃该包，但A的NAT A会记录“内网A→外网8.9.10.11:31000”的请求，临时开放来自该地址的回流数据包通道。
- 同理，B发送的数据包到达NAT A时，NAT A初始也会丢弃，但B的NAT B会临时开放来自A公网地址的回流通道。
- 由于A、B几乎同时发起请求，双方NAT均已为对方开放通道。后续对方的数据包到达时，NAT会直接放行，“洞”成功凿穿。
4. 直接P2P通信：脱离服务器，直连传输
当第一对数据包成功被对方接收后，A和B之间的UDP直接通道正式建立。此后双方的所有通信数据均通过该通道传输，不再依赖服务器S中转，实现高效的P2P直连。
三、TCP打洞原理
TCP打洞核心逻辑与UDP类似，但因TCP是 面向连接 的协议（需三次握手），实现更复杂，成功率低于UDP打洞。
- A和B先与服务器S建立TCP连接，S交换双方公网地址。
- A和B同时向对方公网地址发起TCP连接请求（SYN包）。
- SYN包在各自NAT上创建临时放行规则，允许对方的SYN-ACK包进入。
- 双方SYN-ACK包成功通过NAT，完成TCP三次握手，建立直接连接。
实践中，因TCP协议的严格性和部分NAT设备的限制，TCP打洞应用较少，多数P2P场景优先采用UDP打洞构建数据通道。