加裝 Mesh 後 NAS 失聯、遊戲 NAT 出錯？先查清 double NAT
比較 router WAN IP 同公網 IP，就知問題喺屋企定 ISP
XDA 作者 Samir Makwana 分享，佢將舊 ASUS router 駁落主 router 擴闊 Wi-Fi，兩年來上網、睇串流同視像通話都冇大問題，但 RustDesk 只能經 relay、Vaultwarden 間中連唔到，Immich 備份同 Jellyfin 遙距串流亦唔穩。最後佢先發現舊 router 仲行緊 router mode，自己派 IP 同做 NAT，屋企就咁疊咗兩層網絡。
點解平時上網完全冇事
NAT 會記住由屋企裝置發出嘅連線，再將回應送返去正確裝置。瀏覽網頁、睇片呢類由內向外建立嘅連線，經兩次 NAT 通常照行，所以 double NAT 好易匿足幾年。麻煩多數喺外面主動連入屋企先出現，例如 NAS、遊戲主機配對、P2P、VPN server 同 port forwarding；裝置分處兩個子網時，自動搜尋喇叭、打印機或 Home Assistant 配件亦可能失靈。
呢點亦解釋咗點解一味驗寬頻速度幫助有限。Double NAT 未必明顯拖慢下載，真正改變嘅係連線路徑同入站規則。當 router、NAS 同 app 各自報告正常，但外網連線仍然飄忽，應該先畫清楚「光纖設備／gateway → 自購 router 或 Mesh → 裝置」條路，睇吓邊部機仲開住 DHCP、firewall 同 NAT。
圖片：Google
兩個 IP 已經可以查到大半
先登入你實際駁住裝置嗰部 router，記低 Internet 或 WAN 頁面顯示嘅 IPv4，再用瀏覽器搜尋「what is my IP」查看外界見到嘅公網 IPv4。兩個地址相同，通常代表呢部 router 已直接攞到公網 IP；兩個地址唔同，就代表上游仲有另一層轉換。 比較時要即時做，因為動態 IP 可能會轉。
如果自購 router 嘅 WAN IP 係 192.168.x.x、10.x.x.x，或者 172.16.x.x 至 172.31.x.x，而前面確實仲駁住一部有 routing 功能嘅 gateway，家中 double NAT 機會好高。XDA 作者就係見到第二部 router 攞咗 192.168.1.100，再用 traceroute 見到頭兩跳都係私人地址，先搵到問題。
圖片：Google
CGNAT 要分開處理
如果你已經檢查最外層 gateway，佢嘅 WAN IP 仍然同公網查詢結果唔同，或者落喺 100.64.0.0 至 100.127.255.255，就可能係 ISP 使用 CGNAT。RFC 6598 將 100.64.0.0/10 留畀供應商共享地址空間；呢種情況下，NAT 嗰層喺 ISP 嗰邊，屋企就算改 AP mode 或 bridge mode 都拆唔走。
私人 WAN IP 亦可能來自另一部藏喺前面嘅 router，所以見到地址後要再核對接線，唔好單憑一個數字就判定 CGNAT。確認屋企只剩一部 router 後仍然對唔上，就問 ISP 連線有冇公網 IPv4、可唔可以申請動態或固定公網 IP，同埋有冇額外條件。各間供應商、光纖設備同 5G 家居寬頻安排唔同，冇一套答案通用。
Bridge mode 定 AP mode，睇你想邊部機話事
想由自購 router 或 Mesh 管 DHCP、防火牆、家長控制同 port forwarding，可以查 ISP gateway 有冇 bridge mode 或 IP passthrough，等後面嗰部機接手 routing。改之前要先問清楚 PPPoE 帳戶、VLAN、IPTV 同家居電話會唔會受影響；選項名稱、接線方法同可用功能都會跟器材而變，唔好照搬第二個型號嘅步驟。
如果 ISP gateway 功能夠用，自購器材純粹負責 Wi-Fi 覆蓋，較直接嘅做法係將後者改成 access point mode。ASUS 官方資料指 AP mode 預設會停用 NAT、IP sharing 同防火牆，由上游 router 統一派 IP。不過部分 Mesh 改成 bridge 或 AP 後會少咗 guest Wi-Fi、優先裝置、家長控制等功能；Google Nest 更列明多節點 Mesh 唔支援將主節點設成 bridge，落手前要查自己型號。
Port forwarding 唔好用 DMZ 亂撞
家中 double NAT 理論上可以喺兩部 router 逐層做 port forwarding，但規則難管，換 IP 後又容易失效。將下游 router 放入 DMZ 或長開 UPnP亦唔適合當快捷修正：前者可能一次過暴露大量服務，後者容許裝置自行開 port。美國 FTC 建議關閉 UPnP，同時保持 router firewall 開啟；真係要開放 NAS 服務，就只開必要 port、固定內網 IP、裝好更新，再配強密碼同多重驗證。
至於 CGNAT，改屋企 DMZ 同 port forwarding 都冇用，因為公網入口唔喺你手上。除咗申請公網 IPv4，部分用途亦可以考慮用由內向外建立連線嘅 overlay VPN 或廠商 relay，但速度、私隱同依賴第三方服務各有取捨。加裝 Mesh 後一遇到 NAS 或遊戲 NAT 問題，先比較 WAN IP 同公網 IP，通常快過逐件裝置重設。
參考來源
- XDA Developers — I ran double NAT for two years without knowing it, and fixing it explained problems I'd blamed on everything else — original report
- Google Home and Nest Help：Bridge mode — 解釋 double NAT 常見影響、bridge mode 用法同多節點 Nest Mesh 限制
- TP-Link：Port Forwarding Not Working — 提供 WAN IP 排錯方法、私人地址範圍同 CGNAT 地址判斷
- ASUS：How to set up Access Point mode — 核對 AP mode 會停用 NAT、IP sharing 同防火牆功能
- RFC 6598：Shared Address Space Request — 確認 CGNAT 共享地址空間 100.64.0.0/10 嘅正式定義
- FTC：How To Secure Your Home Wi-Fi Network — 提供 UPnP、router firewall 同家居網絡保安建議
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
