@Kaylar #5 没有本质区别。有 Always-on VPN，是 Network Extension 的一部分。

Surge 开 Always On.

@palemoky #6 可以是一个，也可以是多个（一个池）。即使只有一个外网 IP，给几百台终端也是够用的。此外，你可以选择更激进的老化策略，也可以使用完全锥形节省源端口。

首选楼主问的源 NAT （ NAPT ），那我们只讨论源 NAT 。

转换后的源端口可以作为标识，比如 5.5 转出去是源端口还是 54321，5.9 转出去就是 54322 了（具体是多少取决于源端口保持策略），这样就不存在源端口复用的情况。至于转换后的源端口标识的是特定的内网主机呢，还是的特定连接呢，这取决于 NAPT 策略（完全锥形、对称型等）。部分特殊应用（ SIP 、FTP 等）还有 ALG 辅助。

映射关系释放、老化问题，会以 TCP FIN ALG 等作为老化时机和时间的参照和辅助（加速老化等），也有针对半连接等情况的兜底老化（不然就相当于内存泄漏了），但具体都取决于软件实现和参数配置，没有协议规范。

ARP 查 MAC 什么的都有没关系，处理到 IP 层就够了，如果是在硬件路由器上做的，涉及到 CEF 快转、各种硬件 offload 、FIB 及 TCAM 工作原理，就不要乱猜了。

校园网很少用 /24 的子网，先看你掩码多少，可能是二层隔离 PVLAN 之类的。

楼主 #2 、#3 说得太好了，楼主对安全的理解远超很多在媒体上抛头露脸的所谓安全专家。

利益相关：所谓网络空间安全顾问。

某制造业研发中心，要贴，前后都要贴。

@zuosiruan #2 因为那边有个金融信息科技产业园，还受张江的辐射。

最搞笑的是，星巴克的 Wi-Fi 就是电信供的。

层层往下下指标，威胁你不装就无法参与各种本受法律保护和许可的社会活动。

不错，其实很多商用产品已经有 mDNS 中继 /mDNS 网关 /SDG 了，但这种需求感觉还是上零信任比较好。

负载均衡怎么做的，有查过负载均衡吗？

淞虹路附近，凌空 SOHO ？要么古北，伊犁路、红宝石路夹角那几幢。

Huawei 的 AR 支持很好啦。

@dingdangnao #12 假粉！这段听 2s 前奏心里直接快进完整首，同步歌词只用来掌握节奏根本不需要读！

电商搜索“VESA 转接 NUC”。

@cwcauc #4 你不会搜一下吗，台湾等华语地区在用。

内存拉满当 homelab 节点，还自带 UPS 。