VPN与NAT的交互本质
VPN本身不直接执行NAT转换，NAT由网关或防火墙设备完成。当客户端通过VPN接入远程网络时，其流量首先被封装在隧道协议中。对于远程内网中的其他设备而言，客户端表现为一个IP地址，该地址通常由VPN服务端分配或映射。若远程网络出口配置了NAT策略，坚果则这些来自VPN客户端的流量在访问互联网时，会被出口路由器进行源地址转换，使得外部服务器看到的IP是网关的公网地址，而非客户端的私网IP。
数据经VPN隧道加密传输，在出口网关处完成NAT转换以访问互联网。
典型连接场景演示
假设一家公司内网为192.168.1.0/24，员工通过IPsec VPN接入。服务端将客户端分配至10.10.0.0/16网段。当员工访问内网服务器192.168.1.10时，流量走隧道直达，不涉及出口NAT。但若员工访问百度，流量从10.10.0.5发出，经过公司路由器。路由器检查路由表，将流量导向互联网出口，坚果并执行NAT，将源IP 10.10.0.5替换为路由器公网IP 202.1.1.1。此时，百度服务器收到的是202.1.1.1，完全不可见内部VPN客户端的真实标识。
路由决定流量走向
是否进入VPN隧道，取决于客户端的路由策略或流量选择器。全隧道模式下，所有流量都封装进VPN；科学上网分隧道模式下，仅匹配特定IP范围的流量入隧，其余流量直连本地网络。例如，若策略规定仅访问10.0.0.0/8时走VPN，则访问其他互联网地址时，数据包直接通过本地网卡发送，不经过NAT网关，本地网络若有NAT则适用本地NAT规则，否则直连。
NAT在VPN中的边界作用
NAT主要解决私有IP与公网IP的映射问题，在VPN场景中，它通常位于远程网络的边界路由器上。它不影响隧道内部的连通性，坚果隧道内部通信使用虚拟网段IP，无需NAT介入。NAT的作用仅发生在VPN客户端发起访问非VPN网络（如互联网）的流量时。因此，排查VPN连接问题应首先关注隧道状态和路由，而非怀疑NAT阻断了隧道建立。
区分VPN与中继服务
部分加速服务或“伪VPN”实际上是中继节点，它们可能进行IP隐藏或替换，但其底层未必使用标准VPN协议。若服务使用UDP中继且出口经过NAT，用户看到的出口IP是中继节点的公网IP，这与传统IPsec VPN经由企业网关NAT出口的效果类似，但架构逻辑不同。判断关键在于流量路径：是加密隧道直达远程网关，还是经过第三方服务器转发。用户应根据实际使用的软件和网络拓扑，检查路由表或抓包分析以确定流量真实路径，避免将中继服务的特性误判为VPN机制。
