楼主说的网关是 BRAS 吗，BRAS 不可能 full-mesh 吧。

安亭。

iOS 14 也可以啊，而且美国不是更散装。

淘宝的风控陌生设备会出 2FA 啊，就算密码泄漏了，第二因素难道也泄漏了？

（大家的 SIM 一定要开 PIN 锁啊。）

@meisen #1 你真的不知道苹果重新定义过季节吗？

烂到家了，而且恶意 SEO 甚至污染自家 e.huawei.com ，真的是为达目的不择手段六亲不认无所不用其极。

既然来南昌要租房的话，为啥还叫“回南昌”。

锐捷的 SAM+，需要加购自助组件和微信组件，有钱上 Huawei，可能需要二开。

腾讯 QQ 。

@secretman #2 上海乡下人都在挤公交……

@Kaylar #5 没有本质区别。有 Always-on VPN，是 Network Extension 的一部分。

Surge 开 Always On.

@palemoky #6 可以是一个，也可以是多个（一个池）。即使只有一个外网 IP，给几百台终端也是够用的。此外，你可以选择更激进的老化策略，也可以使用完全锥形节省源端口。

首选楼主问的源 NAT （ NAPT ），那我们只讨论源 NAT 。

转换后的源端口可以作为标识，比如 5.5 转出去是源端口还是 54321，5.9 转出去就是 54322 了（具体是多少取决于源端口保持策略），这样就不存在源端口复用的情况。至于转换后的源端口标识的是特定的内网主机呢，还是的特定连接呢，这取决于 NAPT 策略（完全锥形、对称型等）。部分特殊应用（ SIP 、FTP 等）还有 ALG 辅助。

映射关系释放、老化问题，会以 TCP FIN ALG 等作为老化时机和时间的参照和辅助（加速老化等），也有针对半连接等情况的兜底老化（不然就相当于内存泄漏了），但具体都取决于软件实现和参数配置，没有协议规范。

ARP 查 MAC 什么的都有没关系，处理到 IP 层就够了，如果是在硬件路由器上做的，涉及到 CEF 快转、各种硬件 offload 、FIB 及 TCAM 工作原理，就不要乱猜了。

校园网很少用 /24 的子网，先看你掩码多少，可能是二层隔离 PVLAN 之类的。

楼主 #2 、#3 说得太好了，楼主对安全的理解远超很多在媒体上抛头露脸的所谓安全专家。

利益相关：所谓网络空间安全顾问。

某制造业研发中心，要贴，前后都要贴。

@zuosiruan #2 因为那边有个金融信息科技产业园，还受张江的辐射。

最搞笑的是，星巴克的 Wi-Fi 就是电信供的。