从源地址限制到日志，列出家用/小型站的最低安全动作。 本文属专题「NAT、接入与连通性」，写下日期语境约在 2016 年——彼时个人实验多集中在物理机、家用路由与抓包对照，云原语尚未成为默认语境。
问题从哪里来
标题所指向的并非名词解释赛，而是排障或设计时反复撞到的摩擦：端口转发检查清单：内网服务露到公网前。把它放到「实践」分类下，是因为最终决策多半落在这一层的约束里；相关关键词包括 端口转发、NAT、安全。
关键机制
NAT 改写的是映射，不只是地址字符串；连通性取决于映射类型与绑定寿命。
- 家用 PAT 让多设备共享出口，也让“有公网”不等于“可直连”。
- 端口转发前至少做源限制与日志，暴露面默认是全世界。
- 状态防火墙与对称路由冲突时，回程包会消失得莫名其妙。
对照实验 / 推演
针对《端口转发检查清单：内网服务露到公网前》，把成功案例与失败案例成对保存：同一拓扑下的正反样本，比单独一篇“最佳实践”更抗遗忘。 在 2016 年的工具或许简陋，但“假设—证据—结论”的顺序不必简陋。
# 最小取证模板\ndate; ip -br a; ip r; resolvectl status 2>/dev/null | head- 用两台观测点同时看，避免单侧抓包造成的归因偏差。
- 记录协议版本与中间盒策略，防止跨年重读时对不上号。
- 若涉及缓存，显式记录 TTL 与验证器，避免“别人已更新、我未更新”。
实践时怎么用
- 先写清假设：你期望对称路径、缓存命中或某条会话在哪一跳失败。
- 再取证：路由表/解析结果/抓包/云控制台指标，至少留一份变更前后对照。
- 最后沉淀：把可复用的检查项写回清单，而不是只留一次“修好了”的记忆。
年代注记（2016）
容器网络开始进入视野，但多数笔记仍建立在传统交换路由之上。 本文所属线索（nat-access）应放回整条时间线里看，而不是孤立背诵结论。
研记要点：从源地址限制到日志，列出家用/小型站的最低安全动作。