Windows实际能用的NAT类型是PAT（端口地址转换）：ICS和RRAS均仅支持多对一IP映射+端口复用，不支持静态NAT的一对一IP映射或动态NAT的地址池管理。
windows系统本身不原生支持传统路由器意义上的静态nat或动态nat配置。它没有内置的、可直接通过gui或powershell命令启用“nat地址池”或“一对一ip映射表”的功能。所谓windows中的“nat”，通常指通过internet连接共享（ics）或借助windows server的rras（路由和远程访问服务）实现的网络地址转换，其底层机制更接近pat（端口地址转换），而非标准网络设备中的静态/动态nat。
Windows中实际能用的NAT类型是哪一种？
Windows默认只提供类似PAT的功能：
- ICS自动启用一个固定私有网关（如192.168.137.1），将内网客户端所有出向流量复用于主机的公网IP（或上级网卡IP），靠端口号区分会话；
- RRAS在启用“网络地址转换”角色时，也仅支持将内网段映射到单个外网接口IP，即多对一+端口复用，不支持配置公网IP地址池，也不支持为某台内网服务器长期绑定唯一公网IP；
- 没有命令能输入类似ip nat inside source static 192.168.1.10 203.0.113.5这样的静态映射，也没有nat address-group或pool概念。
为什么Windows不适合做静态NAT或动态NAT？
根本原因在于设计定位不同：
- 静态NAT要求设备能接收并转发目的为指定公网IP的入向流量，并精准还原到固定内网IP——Windows默认防火墙和TCP/IP栈不开放这种细粒度的双向地址重写能力；
- 动态NAT依赖地址池管理、连接跟踪、地址回收等机制，这些属于专业网关设备（如Cisco ASA、华为USG、pfSense）的转发平面功能，Windows的RRAS仅提供基础NAT+路由，无地址池调度逻辑；
- 即使通过第三方工具（如WinNAT、iptables for Windows）模拟，也缺乏稳定性、日志审计和企业级策略控制能力。
Windows运维中该怎么做？
遇到需对外发布服务或控制出向地址的实际需求，应按场景选择替代方案：
- 要让内网Web服务器被外网访问 → 在边界防火墙或出口路由器上配静态NAT + 端口映射（如把203.0.113.5:80 → 192.168.10.10:80），Windows只需确保服务监听正确、防火墙放行；
- 需控制员工上网使用的源IP（例如审计要求每部门对应固定出口IP）→ 应由上游网络设备（如核心交换机、UTM）完成动态NAT或策略路由，Windows保持透明；
- 纯内网测试环境需模拟NAT行为 → 可用Hyper-V虚拟交换机的“内部网络”配合一台Linux VM做iptables NAT网关，比强行在Windows上折腾更可靠。
小结：别在Windows上硬套网络设备的NAT概念
静态NAT和动态NAT是面向专业网络基础设施的配置模型，Windows作为终端/服务器操作系统，其网络角色是NAT的被服务方，不是NAT的提供方。运维中真正要做的，是明确流量走向、厘清责任边界，把NAT逻辑交给合适的设备承载，让Windows专注业务交付。
