Python实现UDP Hole Punching本地正常，AWS部署后无法通信求助

1. AWS实例的安全组与网络ACL配置 #

• 安全组必须双向开放UDP业务端口：既要允许客户端向服务器发起UDP连接的入站规则，也要允许服务器向客户端发送peer信息的出站规则；同时需放开任意外部IP（或指定业务范围）的UDP流量入站，避免NAT穿透后的数据包被拦截。
• 网络ACL要同步配置UDP端口的入站、出站允许规则，网络ACL是子网层面的防火墙，默认规则可能限制跨网络UDP流量。

2. 服务器端绑定地址修正 #

• 本地测试时若绑定127.0.0.1或内网IP，部署到AWS后必须改为绑定0.0.0.0或实例的公网IP。如果绑定内网IP，服务器返回的peer信息可能携带内网地址，导致客户端无法识别有效连接目标。
• 示例代码修正：

  # 错误：绑定内网/本地回环地址
  # sock.bind(('172.31.xx.xx', PORT))
  # 正确：绑定所有网卡地址
  sock.bind(('0.0.0.0', PORT))
  

3. 客户端Socket参数配置 #

• 客户端Socket不能绑定127.0.0.1，需改为绑定0.0.0.0或本机实际网卡IP，否则同一机器的其他客户端也无法通过非回环地址访问。
• 开启端口复用选项，避免同一机器多客户端测试时的端口占用问题，同时提升NAT穿透成功率：

  import socket
  sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
  sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
  sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEPORT, 1)
  sock.bind(('0.0.0.0', CLIENT_PORT))
  

4. 同步打洞时机与多包重试 #

• 对称NAT环境下，单次UDP包可能被NAT网关丢弃，需要服务器协调双方同时向对方地址连续发送3-5个UDP包，通过重复发包建立NAT映射条目。
• 服务器逻辑需调整：在向双方发送peer地址后，立即触发双方的发包动作，避免因发包时间差导致NAT映射未建立。

5. 校验Peer地址的正确性 #

• 确保服务器返回给客户端的peer地址是客户端的公网IP+端口，而非内网地址。检查服务器获取客户端地址的逻辑，比如通过recvfrom拿到的地址应为AWS NAT映射后的公网地址，若返回内网地址需修正服务器的地址解析逻辑。

6. 本地防火墙规则放行 #

• 同一机器测试时，需在本地防火墙（Windows防火墙、Linux iptables）中放行客户端使用的UDP端口，避免本地流量被拦截：
  • Linux示例：

    iptables -A INPUT -p udp --dport 客户端端口 -j ACCEPT
    iptables -A OUTPUT -p udp --dport 客户端端口 -j ACCEPT
    

  • Windows：在防火墙高级设置中添加UDP端口的入站、出站允许规则。

内容的提问来源于stack exchange，提问作者drulludanni