群晖 DDNS 解析出来的 IP 和路由器 WAN 口 IP 对不上，多层 NAT 怎么理？

两个 IP 对不上，说明设备上报的地址和真正对外的地址不是同一个，典型原因是光猫没桥接、运营商做了内层 NAT，或者出口有多层设备各干各的。理清层次，问题就拆开了。

先弄清三个 IP 各是谁

排查时把三个地址摆在一张纸上：群晖系统里看到的对外地址（设备自检报出来的）、路由器 WAN 口拿到的地址、用域名实际解析出来的地址。三者不一致时，从后往前找差在哪一跳。常见的组合是：路由器 WAN 口是内网地址（如 192.168 开头），说明它上面还有一层光猫在做 NAT；解析出来的地址和实际出口对不上，多半是运营商把用户放进了一个大内网，你看到的出口是共享地址。

光猫路由模式：最常见的一层

装宽带时光猫默认开着路由功能，你的路由器其实是接在光猫的内网侧。外面进来的访问先到光猫，光猫不转发就到此为止。两条路解决：把光猫改桥接、由你的路由器拨号，让 WAN 口直接拿到公网地址；或者不改桥接，在光猫上把端口转发指到你的路由器，再由路由器二级转发。前者层次干净，后者不动宽带配置但要维护两层转发规则。

运营商内层 NAT：要公网地址

如果路由器 WAN 口拿到的是 100.64 开头或 10、172.16、192.168 开头的地址，说明运营商侧还有一层 NAT，家宽默认不给公网地址的情况不少。这时 DDNS 解析出来的只是共享出口，端口转发从外进不来。可行做法是找运营商申请公网地址，或者换一条思路：不做端口映射，改走中转——内网设备主动连到一台有公网地址的中转服务器，外部访问经由中转进来。

验证的闭环

改完之后做三步验证：确认路由器 WAN 口地址性质（公网还是内网段）；在路由器上配置端口转发并指向群晖的端口；从外网环境（手机流量、非本网络）实测访问。注意别用内网终端测试，内网访问走不到这条映射路径，测了也白测。DDNS 的解析值更新有延迟，改完等几分钟再看。解析记录是设备定期把出口地址上报给解析服务生成的，出口地址变了要等下一轮上报才刷新，公网地址经常变的宽带，把上报间隔调短一些，断线重连后域名能更快跟上。

一个提醒

多层 NAT 不是故障，是层次问题——每层 NAT 本身都在正常工作，只是叠起来把"从外面直达你设备"这条路堵了。理清谁在 NAT 谁，再决定改桥接、申请公网地址还是走中转，三条路选一条即可。

贵州诚鑫致达科技在帮客户做远程访问接入时，习惯先画清出口层次再选方案，桥接、公网地址、中转三种路线的适用条件讲清楚，客户按自己的宽带条件选，少走弯路。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。