一、先搞懂前提（非常关键）
1、什么情况 DMZ 才会生效拿到 NAT1
必须同时满足 2 点：
光猫改为桥接模式，华硕路由器 WAN 口 PPPoE 拨号（消灭双重 NAT）
移动给你分配公网 IPv4；路由器 WAN 口 IP不是：
10.x.x.x、172.16‑31.x.x、100.64‑127.x.x（100.64 段就是移动 CGNAT 大内网）
如果 WAN 是100.64.x.x → CGNAT（运营商侧 NAT4 对称 NAT）
此时：华硕 DMZ、端口转发、UPnP 全部无效，家里路由器怎么调都出不来 NAT1。DMZ 只能处理你家里这一层 NAT，改不了运营商机房的 NAT4。
很多朋友会拿广电宽带折腾联机，踩坑踩得怀疑人生。广电家庭宽带基本默认套在超大运营商 CGNAT 内网，是重灾区。 移动、联通至少很多地区客服可以申请公网 IPv4；但广电很多地市直接不给家庭用户公网 IPv4，WAN 口 IP 固定是内网段，机房层面直接是对称 NAT (NAT4)。 不管你怎么折腾：光猫桥接、换华硕 / 红米 AX 路由器、开 DMZ、一堆端口转发、打开 UPnP，全部白费功夫。 你在路由器里调一万遍设置，流量在广电机房出口就被 NAT4 锁死。STUN 打洞成功率极低，绝大多数 P2P 联机直接失败，主机联机经常搜不到房间、无法加入、语音不通。 想玩联机游戏的朋友，广电宽带除非当地明确支持公网 IPv4，否则不推荐用来做 P2P 联机。IPv6 是广电联机唯一相对靠谱的出路。
NAT 类型速查表（移动宽带高频，新增广电）
表格
二、第一步：处理移动光猫，消除双重 NAT
移动超级管理员账号默认：
CMCCAdmin，密码：aDm8H%MdA，部分地区安装后会被修改，失败直接拨打 10086 客服远程改桥接最省事。
方案 A：客服远程桥接（推荐新手）
打 10086：
“请把我的光猫 INTERNET 上网连接改成桥接模式，VLAN 不要改动，不要 TR069 自动下发覆盖配置，IPTV 保持原样，我自己路由器 PPPoE 拨号。”
同时问一句：“帮我开通家庭宽带公网 IPv4 地址”。移动家庭宽带部分地区不给公网 IP，不给就会持续 CG‑NAT (NAT4)。
广电用户提示：打广电客服申请公网 IPv4，提前做好心理准备。很多地区客服会回复家庭宽带无法提供公网 IP，直接放弃 IPv4 联机方案，转向 IPv6。
方案 B：手动登录光猫改桥接
网线直连光猫 LAN1，浏览器打开
192.168.1.1，用超级账号登录。网络‑宽带设置，找到 INTERNET（上网）WAN 连接：
连接类型：桥接；勾选 IPv4+IPv6；VLAN ID 不要改动；绑定 LAN1 口。
不要动 IPTV 连接，IPTV 保持路由模式。
保存重启光猫。
风险：移动 TR069 会后台自动把桥接改回路由，改完如果几天后变回路由，再次联系客服关闭 TR069 下发。
如果光猫无法桥接（运营商锁死），只能做二级 DMZ 方案：光猫保持路由模式，光猫 DMZ 主机填写华硕路由器 WAN 口内网 IP，仅缓解双重 NAT，不能突破 CG‑NAT。广电大内网环境下二级 DMZ 基本没有改善效果。
三、华硕路由器完整配置（桥接后，路由器 PPPoE 拨号）
访问 router.asus.com 或路由器网关，进入管理后台。
3‑1 WAN 互联网连接
【外部网络 (WAN)】→【互联网连接】
WAN 联机类型：PPPoE；填入移动宽带账号密码，保存拨号。
开启【启用 UPnP】（主机游戏必备）
NAT 类型：启用 NAT；关闭 “Strict NAT 严格 NAT”（华硕部分固件默认开启会强制 NAT2，一定要关闭）
保存，看 WAN 状态：确认拿到公网 IP，不是 100.64 段。
3‑2 给游戏设备绑定静态 LAN IP（DMZ 必须）
【内部网络 (LAN)】→【DHCP 服务器】
“手动指定 IP 给 DHCP 客户端”：选择你的主机 / 电脑 MAC，分配固定内网 IP，例：
192.168.50.100点加号添加，应用本页面设置，保证设备永远拿到同一个内网 IP，否则 DMZ 失效。
3‑3 华硕开启 DMZ 主机
【外部网络 (WAN)】→切换标签到【DMZ】
勾选【启动 DMZ】
DMZ 主机 IP 地址填入上一步静态分配的设备内网 IP，如
192.168.50.100应用本页面设置，保存。
安全警告：DMZ 把该设备全部端口暴露公网，只给游戏主机 / 专用联机电脑使用，不要日常办公电脑长期开 DMZ。
3‑4 华硕 IPv6 设置（移动宽带 / 广电宽带通用）
【外部网络 (WAN)】→【IPv6】
IPv6 联机类型选：Native（PPPoE 拨号宽带标准）
获取 DNS：自动
IPv6 防火墙：关闭防火墙；
注意：IPv6 没有 NAT，设备直接拥有公网 IPv6 地址；主机游戏可以走 IPv6 直连，不受 IPv4 CG‑NAT 影响；但部分老游戏不支持 IPv6。 广电用户重点：IPv6 是广电宽带联机唯一救命稻草，IPv4 大内网 NAT4 无解，优先启用 IPv6 尝试联机。
四、STUN 穿透配置（NAT2/NAT3 环境，无公网 IP 的补救）
STUN 作用：帮助内网设备获取对外端口映射实现 P2P 打洞；STUN 无法破解运营商 NAT4 对称 NAT，广电 / 移动 CGNAT 环境下 STUN 基本失败，需要 TURN 中继服务器。
常用国内 / 国外 STUN 服务器地址，NatTypeTester 测试填写
stun.qq.com:3478
stun.l.google.com:19302
stunserver.stunprotocol.org:3478
stun.miwifi.com:3478
Windows 系统下 STUN 测试不出 NAT1 的常见坑
Windows 防火墙拦截 STUN UDP 包
临时测试：专用网络 + 公用网络防火墙全部关闭测试；
长期方案：防火墙高级设置，允许 NatTypeTester、游戏程序通过 UDP 出入站。
华硕路由器防火墙拦截 UDP：WAN‑防火墙设置，不要拦截 UDP 3478 端口。
测试工具：NatTypeTester，填入 STUN 服务器，看输出 NAT 类型；Xbox 设置‑网络‑测试 NAT 类型也可以验证。
五、移动宽带 CG‑NAT（WAN IP=100.64.x.x/ NAT4）完整解决方案
现象：光猫桥接、华硕 DMZ、UPnP 全部开启，依旧测出 NAT4；路由器 WAN 是 100.64 开头 IP。
优先打 10086 申请公网 IPv4，部分地区家庭宽带可以免费开通。
如果移动不给公网 IPv4：
方案 1：依赖IPv6 联机，新主机游戏大多支持 IPv6 直连，绕开 IPv4 NAT4 限制。
方案 2：使用带 TURN 中继的软件做 P2P 穿透（ZeroTier、WireGuard 等虚拟局域网）。
方案 3：更换其他运营商宽带。
广电宽带补充：广电绝大多数地区家庭宽带很难拿到公网 IPv4，IPv4 层面基本是运营商侧 NAT4，不要死磕 DMZ 和端口转发。 优先开启 IPv6 尝试联机；IPv6 也不行的话，只能虚拟局域网或者换宽带。
记住：CG‑NAT 是运营商网络限制，路由器 DMZ、端口转发无法把 NAT4 改成 NAT1/NAT2。
六、全套排错清单
确认拓扑：光猫桥接 → 网线接华硕 WAN 口，华硕 PPPoE 拨号；禁止光猫路由 + 华硕再路由双重 NAT。广电大内网场景，就算桥接成功，WAN 内网 IP 依旧 NAT4。
看华硕 WAN IP：如果 100.64 开头 = CG‑NAT，DMZ 无效。广电宽带 WAN 常见 10、100.64 段内网 IP。
DMZ 目标设备 IP 必须是 DHCP 静态绑定，设备 IP 不能自动变化。
华硕 WAN 设置关闭【Strict NAT 严格 NAT】，否则拿不到 Full‑Cone NAT1。
Windows / 主机防火墙拦截 UDP，会导致明明配置正确，测出错误 NAT 类型。
移动光猫 TR069 远程下发，自动把桥接改回路由；现象：设置好过一两天 NAT 又变差，联系客服关闭 TR069。广电部分地区光猫同样存在 TR069 锁配置。
测试 NAT 优先使用 NatTypeTester，多换 2‑3 个 STUN 服务器测试，避免 STUN 服务器本身故障误判。
广电用户额外检查：确认 IPv6 已正常获取地址，优先使用 IPv6 联机，不要继续在 IPv4 上浪费时间。
七、安全提醒
DMZ 只临时用于联机测试，不用的时候建议关闭 DMZ，降低被外网扫描攻击风险。
IPv6 开启后内网设备直接公网可达，务必保持路由器 IPv6 防火墙开启，不要关闭。
CG‑NAT 下不要反复折腾 DMZ / 端口转发，是运营商网络限制，不是路由器故障。广电大内网尤其要记住这点。
评论