最近刷到几篇 iStoreOS 调优教程，评论区都在吵同一件事。教程说要开几个设置提升效率，有用户直接回怼：qq音乐说，你敢开，我敢上传；有用户说，我都是关的，万一不知什么软件后台偷搞pcdn；有人认为都开全锥了，UPnP 就没什么意义了；还有人吐槽 UPnP 开了几天就会失效，要重新关开一次才能正常几天。iStoreOS 的开发者本人也跑到评论区留了一句：如果需要跑 P2P 应用，这些确实需要开启。B站每边说的都有道理，但都不完整。因为很多教程把三件完全不同的事——NAT 类型、UPnP、偷跑上传——打包成了一个概念：“你应该打开的设置”。今天把它们拆开看。
你的游戏机显示 NAT3，多半不是没开 UPnP
8 月中旬，iStoreOS 官方社区的一篇排查帖里有个真实案例：用户给 R2S 刷了 iStoreOS，结果连在软路由下的手机、电脑、游戏机全部变成 NAT3，怎么调 UPnP 都没用。帖子里的排查思路很明确：先看网络拓扑。如果光猫仍然在拨号，R2S 后面又再做一层路由，就可能形成双重 NAT，开关怎么翻都是 NAT3。酷友社社区那篇帖子里还有句原话值得抄下来：只反复开关 UPnP，不一定能解决 NAT3。NAT 类型首先由拓扑决定，其次才轮到防火墙行为。真正改变 NAT 类型的是 FullCone-NAT（全锥型，也就是游戏党说的 NAT1），iStoreOS 里可以在网络、防火墙相关设置里找到，社区给的建议是按建议启用、选高性能模式，然后再测试。
开了之后什么效果？看一个真实用户的自测：检测结果直接给出 Full Cone（NAT1）。这就是游戏教程想给你看的那个效果。
但先提醒一句：FullCone 不是没代价。有个经典案例：一位用户的 R86S 下挂了两台网心云设备，又开了 FullCone-NAT，活动连接数飙到 4 万往上，ksoftirqd 把 CPU 一个核用到顶，全网延迟丢包、机器接近死机，关掉 FullCone 才恢复正常。GitHub低功耗软路由加上 PCDN 级连接数，正是这个设置的事故现场。
UPnP 默认是关的，官方把理由写在页面上了
打开 iStoreOS 的 UPnP 设置页（服务 > UPnP IGD 和 PCP），看默认值："启动服务"这个总开关默认是关闭的。也就是说，官方的默认立场是不开。官方功能文档对这个开关的描述也很直白：控制 UPnP 和 PCP 服务是否在路由器上运行，关闭后将禁用所有相关功能，适合追求安全或不需要自动端口映射的用户。酷友社社区
UPnP 做的事，是让局域网设备能自动找路由器申请端口映射——游戏机、视频通话、部分下载软件靠它打洞，确实方便。但代价有两个。一是安全。知乎上有答得很干脆的观点：因为有安全问题所以它也不可能再发展了，建议任何时候不要用这个功能。知乎第二个代价更现实：打洞的方便，偷跑上传的 PCDN 类应用同样用得上。早在 2023 年，爱奇艺电视版就被曝出在偷跑上传，当时就有某省联通直接以上传超过下行的 5 倍封停异常宽带。微博网关功能的讨论里更有人直接提醒：UPnP 存在巨大的安全风险，并且容易被 PCDN 利用，影响网络质量。知乎UPnP 给设备开的那扇打洞方便之门，对视频平台、音乐 App 的"加速服务"同样是敞开的，它们在后台悄悄吃掉你的上行，你未必知情。
真正让你被封的，是上传量，不是开关
把今年夏天的几件事连起来看。7 月，山东电信用户反映运营商在"宁可错杀"式地查 PCDN：不通知、不举证、直接限速到 4M，逼用户签"认罪书"才恢复，第二次直接终身"判刑"。微博8 月中旬，又有一位联通 2000M 宽带用户吐槽莫名其妙被限速两次，得到的说法是上传量过大。微博这里的关键点：运营商看的是上传行为和上传量。UPnP 只是给偷跑上传开方便门的方式之一。关掉 UPnP，不等于百分百不会被封——真要自己跑 PCDN 盒子，照样被查；但开了 UPnP，确实给了偷跑应用更多机会。想不被查，要管的是上传本身：找出家里长期上传偏高的设备，再看它的电视盒子、视频软件里有没有开着"贡献"类开关。
三类家庭，三种开法
游戏家庭（Switch、PS、Xbox、Steam Deck 联机）：先把拓扑理顺——光猫改桥接、iStoreOS 拨号、确认 WAN 口是公网 IP，这三步不做，后面全白搭。然后开 FullCone-NAT、选高性能模式。UPnP 建议保持默认关闭，给游戏机单独做端口转发，映射固定、不会被别的软件乱申请；如果确实要开，开完观察几天，确认没有出现奇怪的映射。
PT、P2P 下载家庭：优先手动端口映射，比 UPnP 稳定。FullCone 本身对 P2P 打洞成功率有帮助，可以开；UPnP 可以不开。
普通追剧家庭（没有游戏机、不做 P2P）：开关保持默认关闭就好，iStoreOS 出厂就是这么给的。你要做的是偶尔看一眼家庭上传情况：iStoreOS 后台首页就能看到各设备的实时速率和接口状态。发现哪个设备长期上传异常，先检查电视盒子、视频软件里有没有"加速服务""闲置带宽利用"这类开关——那才是家庭上传的第一大来源。
最后，动手改开关之前的三件事
先确认光猫桥接和拨号位置，查 WAN 口是不是公网 IP——这决定 NAT 类型的上限；
在后台首页看各设备的上传速率，先清掉偷跑的 PCDN 类应用，再谈开关；
改完设置一定要复测：游戏机看自己网络设置里的 NAT 类型，电脑可以用 STUN 类测试工具，再跑个测速，确认没有把自己搞卡。
这几个开关没有标准答案，答案在你的用途里：游戏党要的是联机体验，下载党要的是打洞效率，追剧家庭要的是安安静静的带宽。教程只教你开，没教你开的代价。把 NAT 类型、UPnP、偷跑上传这三件事分开，开关就握回你自己手里了，也不容易被评论区的噪音带节奏。
