netsh portproxy 是 windows 中实现轻量级端口映射（类 dnat）的首选方案，适用于 tcp/udp 转发，需启用 ipv6、配置监听与转发规则、放行防火墙，并可通过导出导入实现持久化；wsl2+iptables 可补足完整 nat 需求。
netsh 是 windows 系统中强大且常被低估的网络配置工具，尤其在处理 ics（internet 连接共享）或轻量级 nat 场景时，它能绕过图形界面限制，实现精细、可脚本化的端口映射与地址转换控制。关键在于理解 netsh interface portproxy 与 netsh routing ip nat 两类命令的适用边界——前者适用于 tcp/udp 端口转发（类似反向代理），后者仅存在于旧版路由和远程访问服务（rras）中，且在 windows 10/11 家庭版及多数专业版默认未启用，实际运维中更常用的是 portproxy 方式模拟 nat 行为。
用 portproxy 实现跨网卡端口映射（类 DNAT）
当一台 Windows 主机同时连接内网（如 192.168.10.100）和外网（如 10.0.0.50），需将外部请求的 8080 端口转发到内网 Web 服务器（192.168.10.200:80）时，portproxy 是最直接方案：
- 启用 IPv6 协议栈（即使不使用 IPv6，portproxy 依赖其驱动）：
netsh interface ipv6 install - 添加监听并转发规则：
netsh interface portproxy add v4tov4 listenaddress=10.0.0.50 listenport=8080 connectaddress=192.168.10.200 connectport=80 protocol=tcp - 允许对应入站防火墙规则（必须）：
netsh advfirewall firewall add rule name="NAT-8080" dir=in action=allow protocol=TCP localport=8080
注意：listenaddress 必须是本机已绑定的 IP；若设为 0.0.0.0，则监听所有 IPv4 接口，但需额外确认防火墙放行该端口。
持久化规则与多协议支持
默认情况下，portproxy 规则在重启后丢失。可通过导出/导入方式固化：
- 导出当前全部规则：
netsh interface portproxy dump > nat-rules.txt - 开机自动加载（推荐用任务计划程序触发）：
创建批处理文件，内容为netsh exec nat-rules.txt，设置为“登录时”或“系统启动后延迟 1 分钟”运行 - UDP 映射同样支持，只需将 protocol=tcp 改为 udp，适用于 DNS 转发、游戏联机等场景
排查常见失败原因
规则添加成功但无法访问？优先检查以下四点：
- 目标服务是否真实运行且绑定正确地址（如 Web 服务监听 0.0.0.0:80，而非 127.0.0.1:80）
- Windows 防火墙是否同时放行了 listenport（入站）和 connectport（出站，若目标在另一台机器上）
- 执行
netsh interface portproxy show all确认规则状态，留意 “Active” 列是否为 Yes - 使用
netstat -ano | findstr :8080验证监听进程是否为 System（PID 4），非此 PID 说明被其他程序占用
替代方案：配合 WSL2 实现更灵活 NAT
对于需要完整 SNAT/DNAT 的场景（如虚拟机桥接、容器互通），纯 Windows 内置工具能力有限。此时可启用 WSL2 并利用其内置 iptables：
- 在 WSL2 中安装 iptables：
sudo apt update && sudo apt install iptables - 开启 IP 转发并配置 DNAT：
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forwardsudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.10.200:80 - 通过 Windows 主机的 portproxy 将流量导向 WSL2 的 eth0 IP（通常为 172.x.x.1）
这种方式兼顾灵活性与稳定性，适合开发测试环境快速构建多层网络拓扑。
