udp防火墙穿透原理

如果想A要与外界的D通信，则首先必须要A发包到D，然后A经过NAT设备NA，NA把A的内网地址和端口转换为NA的外网地址和端口。和D通信之后，D才能经过NA和A通信。也就是说，只能A和外界主动通信，外界不能主动和处于NA之后的A通信。这种包会被NA直接丢弃的。这也就是上面所说的Port Restricted Cone 的情形啊！ A(192.168.8.100:5000) -> NA(202.100.100.100:8000) -> D(292.88.88.88:2000)但是我们可以这样.
A --- NA --- Server C --- NB --- B
A,B 为主机；
NA, NB 为NAT设备；
Server C为外网的机器；
1，如果A想与B通信；
2，A首先连接 C, C得到A的外网NA的地址和端口；
3，B也要连接C，C得到B的外网NB的地址和端口；
4，A告诉C说我要和B通讯；
5，C通过NB发信息给B，告诉B A的外网NA的地址和端口；
6，B向NA发数据包（肯定会被NA丢弃，因为NA上并没有 A->NB 的合法session），
但是NB上就建立了有B->NA的合法session了；
7，B发数据包给C，让 C 通知 A，我已经把洞打好了；
8，A接受到通知后向 B 的外网发NB数据包，这样就不会被丢弃掉了。因为对于NB来说，它看到的是A的外网NA的地址，
而通过第6步，B已经让NA成为NB的合法通信对象了。所以当NA发数据包给NB时，NB就会接收并转发给B；
注意： 路由器和防火墙的UDP打洞的端口有个时间限制的，在一定时间内如果没有数据通讯会自动关闭

三. 同一个NAT后的情况

如果A,B在同一个NAT后面.如果用上面的技术来进行互连.那么如果NAT支持loopback(就是本地到本地的转换),A,B可以连接,但是比较浪费带宽和NAT.
有一种办法是,A,B和介绍人通信的时候,同时把自己的local IP也告诉服务器.A,B通信的时候,同时发local ip和公网IP.谁先到就用哪个IP.但是local ip就有可能不知道发到什么地方去了.比如A,B在不同的NAT后面但是他们各自的local ip段一样.A给B的local IP发的UDP就可能发给自己内部网里面的xxxx了.