Windows中NAT与防火墙规则按固定顺序处理：入站流量先DNAT后防火墙入站检查，出站流量先防火墙出站再SNAT；DNAT转换后的内网地址端口必须被防火墙显式允许，否则丢包。
在 windows 运维中，nat（网络地址转换）规则与防火墙规则并非独立生效，而是存在明确的处理顺序。若配置不当，常出现“端口已映射却无法访问”“内网能通、外网不通”等现象，本质多是规则优先级或匹配逻辑冲突所致。
Windows 防火墙与 NAT 的处理顺序
Windows 使用 Netsh AdvFirewall（高级防火墙）和 RRAS（路由和远程访问服务） 或 Windows NAT（通过 NetNat） 实现 NAT 功能。二者分属不同子系统，但数据包流经路径固定：
- 入站流量（外网→内网）：先经 NAT 转发（DNAT） → 再过 Windows 防火墙入站规则
- 出站流量（内网→外网）：先经 防火墙出站规则 → 再做 SNAT（源地址转换）
- 关键点：NAT 不绕过防火墙；DNAT 后的“目标 IP+端口”必须被防火墙显式允许，否则丢包
典型冲突场景与验证方法
常见问题不是规则没配，而是规则没生效于正确阶段：
- DNAT 映射了 10.0.0.10:80 → 主机 192.168.1.100:80，但外网连不上：检查防火墙是否允许“192.168.1.100 上的 TCP 80 入站”，而非“10.0.0.10 的 80”——DNAT 后目标已变为内网地址
-
启用“域/专用/公用”任一配置文件后连接中断：确认当前网络位置（
Get-NetConnectionProfile），防火墙规则仅对激活的配置文件生效 -
使用 PowerShell 创建的 NetNat 静态映射未生效：运行
Get-NetNatStaticMapping确认状态，再用netsh interface portproxy show v4tov4排查是否与端口代理（非 NetNat）混用
排查四步法（命令行为主）
无需第三方工具，纯系统命令快速定位：
-
查 NAT 映射是否存在且启用：
Get-NetNat | fl Name,State+Get-NetNatStaticMapping -
查对应端口是否被防火墙放行：
netsh advfirewall firewall show rule name=all | findstr ":80"，重点看“协议”“本地端口”“配置文件”“操作”字段 -
查连接跟踪（确认 DNAT 是否触发）：
Get-NetNatSession—— 若无会话记录，说明流量未到达 NAT 层（可能被前置防火墙/网卡驱动拦截，或 IP 不匹配） -
临时关闭防火墙验证：
Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled False（测试后务必恢复）
规避冲突的设计建议
生产环境应减少“救火式配置”，从架构层面降低耦合：
- 统一用 NetNat + 高级防火墙规则，避免混用 RRAS、端口代理（netsh interface portproxy）、第三方 NAT 工具
- 防火墙规则优先按“程序路径”或“服务名”设置，而非仅靠端口——更稳定，不受端口变更影响
- 对关键服务（如 RDP、Web），在防火墙中为每个配置文件单独启用规则，并标注用途（如“WAN-DNAT-RDP”），便于审计
- 启用防火墙日志（
Set-NetFirewallProfile -LogAllowed True）并定期检查%systemroot%\system32\logfiles\firewall\pfirewall.log，可捕获“被拒绝但本应 NAT”的原始五元组
