---
title: "运营商路由器后面的 Mesh 造成双重 NAT：如何判断与修复 · Kilobat 指南"
url: "https://kilobat.app/zh-hans/guides/double-nat-mesh"
description: "运营商路由器后面的 Mesh 系统可能造成双重 NAT。了解它会破坏什么、如何在 Mac 上发现它，以及何时使用桥接或直通模式。"
---

# 双重 NAT：运营商路由器后面的 Mesh 系统

当 Mesh 系统作为路由器接在运营商的路由器后面时，两台设备都会转换地址。这就是双重 NAT。大多数网页浏览仍能正常使用，但端口转发、部分游戏和部分远程访问可能会失败。

**让你的智能体来解决**拷贝一条提示词，适用于 Claude Code、Codex 或任何能使用终端的智能体。

我的 Mac 出现了这个问题：双重 NAT：运营商路由器后面的 Mesh 系统。请阅读 https://kilobat.app/zh-hans/guides/double-nat-mesh.md，并和我一起逐步处理。如果缺少 Kilobat CLI，请安装：brew install seifip/kilobat/kilobat。请你自己运行指南中的终端和 kilobat 检查，并告诉我发现了什么。列出只有我才能完成的步骤。更改任何设置之前先问我。

适用于：所有当前的 macOS 版本。路由器菜单来自各厂商自己的帮助页面，因型号和固件而异。 · 核查日期：2026 年 11 月 7 日

## 症状

- Mesh App 或游戏主机提示双重 NAT，或显示严格或中等的 NAT 类型。
- Mesh 路由器上的端口转发对来自互联网的连接没有效果。
- UPnP 在 Mesh 上打开了端口，但其他人仍然无法连接到你的游戏或服务器。
- 添加 Mesh 后，对家里的 Mac、NAS 或摄像头的远程访问停止了。
- 家里的 VPN 服务器不接受连接。
- 运营商 Wi-Fi 上的设备看不到 Mesh Wi-Fi 上的打印机或电视。

## 可能的原因

- **两台路由器都在做 NAT。**运营商的路由器给 Mesh 分配一个私有地址。Mesh 再从第二个地址范围给你的设备分配私有地址。
- **端口转发止步于第一台路由器。**传入连接首先到达运营商的路由器。仅在 Mesh 上设置的端口转发或 UPnP 映射无法越过它。
- **两个独立的本地网络。**运营商 Wi-Fi 上的设备和 Mesh Wi-Fi 上的设备处于不同的子网。Bonjour 发现无法在它们之间传递。
- **两个 DHCP 服务器。**Apple 建议只在一台路由器上运行 DHCP 服务器和 NAT。Apple 表示，双重 NAT 可能会让设备无法访问某些资源。

## 如何检查

1. 找到 Mac 使用的路由器。记下 `gateway:` 后面的地址。

   ```
   route -n get default | grep gateway
   ```
2. 追踪通往互联网的前几跳。

   ```
   traceroute -n -m 4 1.1.1.1
   ```

   输出第 1 跳是你的 Mesh 路由器。如果第 2 跳也是私有地址，例如 192.168.1.254 或 10.0.0.1，那么家里很可能有第二台路由器。
3. 打开 Mesh App，找到主 Mesh 节点的 WAN 或互联网地址。
4. 将它与私有地址范围 10.x.x.x、172.16–31.x.x 和 192.168.x.x 对比。WAN 地址是私有地址，就说明存在双重 NAT。
5. 从 100.64.0.0 到 100.127.255.255 的地址是运营商侧的运营商级 NAT。在家里使用桥接模式无法消除它。

## 如何修复

1. 选择一台路由器来做 NAT 和 DHCP。另一台设备只能转发流量或提供 Wi-Fi。
2. 方案 1：将运营商的路由器设为桥接模式。这样 Mesh 会获得公网地址，并继续担任路由器。
3. 在 Xfinity 网关上，于 10.0.0.1 打开 Admin Tool。选择 Gateway > At a Glance，然后点击 Bridge Mode 旁边的 Enable。
4. Xfinity 表示，桥接模式会关闭网关自身的 Wi-Fi、xFi Pods 和 Xfinity CyberSecure。
5. 在 AT&T 网关上，使用 IP Passthrough。AT&T 表示，其网关无法使用桥接模式。
6. AT&T 提供了 Firewall > IP Passthrough。将 Allocation Mode 设为 Passthrough，并选择 DHCPS-fixed。
7. 将 Mesh 路由器的 MAC 地址输入为 Passthrough Fixed MAC Address。重新启动 Mesh 路由器。
8. AT&T 表示，只有一台设备可以使用直通。网关的防火墙将不再保护它。
9. 方案 2：将 Mesh 设为接入点或桥接模式。这样运营商的路由器仍是唯一的路由器。
10. 在 TP-Link Deco 上，将 Deco 切换为 Access Point 模式。TP-Link 表示，这样多台 Deco 可以通过网线连接。
11. 在 eero 上，打开 Settings > Advanced networking > DHCP & NAT。将 Automatic 改为 Bridge。
12. eero 表示，桥接模式会关闭 eero Plus 的功能，例如 Advanced security、广告拦截和内容过滤器。
13. Google 表示，Nest Wifi 的桥接模式只适用于单台 Wifi 设备，不适用于 Mesh。
14. 对于 Nest Wifi，Google 建议在运营商的路由器上使用桥接模式；如果调制解调器是独立的，则移除那台路由器。
15. 完成任一更改后，重新启动 Mac 的 Wi-Fi。检查 `traceroute` 中是否只剩一个私有跳。
16. 如果保留双重 NAT，请在两台路由器上都设置端口转发。先把端口转发到 Mesh，再转发到设备。

你的路由器的确切菜单，从 FRITZ!Box、Xfinity 到 eero 和 Livebox：[路由器指南](https://kilobat.app/routers)。

## 使用 Kilobat

1. 用 Kilobat 追踪路由。开头有两个私有跳，说明家里有两台路由器。

   ```
   kilobat trace 1.1.1.1
   ```
2. 显示流量从 Mac 的哪里离开，以及 Cloudflare 看到的公网地址。

   ```
   kilobat ip --public
   ```
3. Kilobat 读取路由和地址，无法更改路由器上的模式。

## 常见问题

**双重 NAT 会让我的网速变慢吗？**

Google 表示，对大多数人来说，双重 NAT 不会影响 Wi-Fi 性能。它会影响在线游戏、端口转发和 UPnP。

**在运营商的路由器上还是在 Mesh 上使用桥接模式更好？**

在运营商的路由器上使用桥接模式，可以保留 Mesh 的功能，例如安全功能、过滤器和端口转发。在 Mesh 上使用桥接模式，则保留运营商的功能。

**为什么 IP Passthrough 之后，我的 Mesh 仍显示私有 WAN 地址？**

更改后重新启动 Mesh 路由器，让它重新申请地址。检查网关中的 MAC 地址是否是 Mesh 路由器 WAN 端口的地址。

**桥接模式能解决运营商级 NAT 吗？**

不能。运营商级 NAT 在运营商的网络中。请向运营商申请公网 IPv4 地址，或在可用的地方使用 IPv6。

## 参考资料

- [Apple 支持：Wi-Fi 路由器和接入点的推荐设置](https://support.apple.com/en-us/102766)
- [Google Nest 帮助：修复两台路由器同时运行造成的双重 NAT](https://support.google.com/googlehome/answer/6277579?hl=en)
- [TP-Link：Deco 与现有路由器：Router Mode 和 Access Point Mode](https://www.tp-link.com/us/support/faq/1432/)
- [eero 支持：什么是桥接模式？](https://eero.com/support/articles/what-is-bridge-mode)
- [Xfinity：在无线网关上使用桥接模式](https://www.xfinity.com/support/articles/wireless-gateway-enable-disable-bridge-mode)
- [AT&T Business 支持：配置 IP Passthrough 和 DMZplus](https://www.att.com/support/smallbusiness/article/internet/KM1188700/)
- traceroute(8) 和 route(8)，随 macOS 27.2 安装的手册页

核对于 2026 年 11 月 7 日。

## 相关指南

- [用 traceroute 找出连接变慢的位置](https://kilobat.app/zh-hans/guides/traceroute-mac): traceroute 显示从 Mac 到某台主机的路径上的每个路由器，以及每个路由器的应答时间。
- [Mac 使用了自分配 IP 地址](https://kilobat.app/zh-hans/guides/self-assigned-ip-address): 如果 Mac 收不到 DHCP 服务器的响应，它会从 169.254.0.0/16 中为自己分配一个链路本地地址。
- [Mac 上 VPN 已连接但无法上网](https://kilobat.app/zh-hans/guides/vpn-connected-no-internet): VPN 会通过隧道发送流量。
- [Mac 上未显示 Chromecast、隔空播放电视或打印机](https://kilobat.app/zh-hans/guides/casting-printer-not-showing-mac): Chromecast、隔空播放和 AirPrint 通过本地网络上的 Bonjour 消息查找设备。
- [换了新路由器或 Mesh 后，隔空播放或 AirPrint 停止工作](https://kilobat.app/zh-hans/guides/airplay-airprint-mesh-router): 隔空播放和 AirPrint 通过 Bonjour 查找设备，而 Bonjour 在本地网络上使用多播。