windows远程访问需nat与策略协同：nat负责端口转发（如3390→内网3389），远程桌面设置、组策略和防火墙规则共同管控权限、会话与访问源，确保外网安全稳定接入内网主机。
windows 远程访问策略与 nat 协同应用，核心是让外网用户安全、稳定地访问内网中启用远程桌面（rdp）的 windows 主机，同时保障内网整体隔离性。这不是简单开个端口就能解决的事，需要 rras-nat 作网络出口管控，再配合远程访问策略（如连接限制、账户权限、防火墙规则）共同生效。
明确角色分工：NAT 负责“通路”，策略负责“守门”
NAT 本身不控制谁可以连、连多久、用什么账号——它只做地址和端口转换。真正的访问控制由三类策略协同完成：
- Windows 远程桌面设置：在目标主机“系统属性 → 远程 → 允许远程连接”中启用，并指定哪些用户组（如 Administrators 或自定义组）有权连接；禁用“仅允许运行带网络级别身份验证的远程桌面”可兼容旧客户端，但会降低安全性。
- 本地组策略或域策略：通过 gpedit.msc 或域控制器 GPO 控制 RDP 会话超时、空闲断开、多会话限制、剪贴板/驱动器重定向开关等。例如限制单用户最多1个活动会话，防止账号被滥用。
- Windows 防火墙入站规则：确保“远程桌面（TCP-In）”规则已启用，且作用域限定为可信网络（如仅限 ZeroTier 网段或特定公网 IP 段），而非“任何位置”。
跨网远程时，NAT 映射必须精准对应策略边界
当目标主机位于 RRAS-NAT 后方（即内网段），外部连接需经两层转发：先由外网网卡接收请求，再由 NAT 规则导向内网主机。此时映射配置直接影响策略执行效果：
- 若使用 端口映射（DNAT）：在 RRAS 的“服务和端口”中添加规则，外部端口建议避开默认 3389（如设为 3390），内部 IP 填目标主机真实内网地址（如 192.168.100.10），协议选 TCP。这样所有发往服务器外网 IP:3390 的流量，都会被 NAT 转发到该主机，后续由该主机自身的远程策略校验登录凭证。
- 若使用 静态地址映射：将一个未使用的公网子网 IP（如 203.0.113.100）一对一绑定到内网主机（如 192.168.100.10）。此时该主机对外表现得像直连公网，Windows 防火墙和远程策略直接面对外网请求，务必关闭“允许来自任意网络的连接”，只允许可信源 IP 访问。
- 无论哪种映射，都必须在 Windows 防火墙中单独放行对应端口的入站规则——RRAS 的“启用基本防火墙”仅过滤外网接口的入向流量，不自动开放映射端口给内网主机。
推荐组合方案：ZeroTier + NAT + 细粒度策略
对无公网 IP 或无法操作路由器的场景，优先采用虚拟局域网穿透方式，再叠加 NAT 和策略，兼顾灵活性与可控性：
- 在办公室主机和家用设备上均安装 ZeroTier，加入同一虚拟网络，获得 10.x.x.x 类私有 IP；
- 将办公室主机设为 RRAS-NAT 服务器：外网网卡接物理网络（获取上级路由分配的 IP），内网网卡绑定 ZeroTier 虚拟网卡（如 10.147.17.1/16）；
- 在 RRAS 中将 ZeroTier 网段设为“专用接口”，启用 NAT 并勾选“启用基本防火墙”；
- 目标远程主机（如 10.147.17.5）保持默认 RDP 设置，但 Windows 防火墙仅允许来自 10.147.17.0/16 的 3389 入站；
- 最终实现：家用设备通过 ZeroTier 直连目标主机 IP，全程走加密隧道，不暴露真实公网入口，所有策略在终端本地生效，无需端口映射也无需担心 ISP 封禁。
关键避坑提醒
常见失效原因往往不在 NAT 配置本身，而在策略协同疏漏：
- 开启远程桌面后未重启目标主机，或未确认“远程桌面服务”（TermService）处于运行状态；
- RDP 使用标准账户但该账户未加入“Remote Desktop Users”组，或密码为空且未禁用“空密码登录限制”；
- RRAS 启用 NAT 后，忘记在“外网接口属性 → 服务和端口”中添加映射，或添加后未点击“确定”保存；
- 测试时用内网 IP（如 192.168.100.10）直连成功，误以为外网也能通——实际外网必须用映射后的公网 IP+端口，且该端口需在 Windows 防火墙中显式放行。
