基于 Padavan 固件 /proc/net/nf_conntrack 输出，还原家庭网络拓扑、识别全部在线设备、定位网络异常。结论：整体健康，无入侵迹象，主要问题集中在 DNS/IPv6/DoH 路由不统一。
NAT 表使用率仅约 3%，路由器没有过载，没有连接风暴，没有明显木马外联迹象。
NAT 表只用了约 3%，路由器完全没有过载。最重要的是——没有连接风暴，没有明显木马疯狂外联。这是最重要的整体安全指标。
双重 NAT 环境 + IPv6 直连，中国移动宽带。
路由器 WAN 口 IP 为 192.168.1.3（所有 NAT 回复方向的 dst），说明上层还有一台光猫/路由器。双重 NAT 环境会导致 P2P、端口映射等功能受限。IPv6 不经过 NAT，设备直接获得全球单播地址（中国移动前缀）。
数百条 SYN_SENT 堆积，目标 1.1.1.1 和 8.8.8.8 的 443 端口全部无回应。
大量 dst=1.1.1.1 dport=443 [UNREPLIED] 和 dst=8.8.8.8 dport=443 [UNREPLIED]，源端口从 60200 连续编号到 60400，是典型的应用程序反复尝试建立 DoH 连接但持续被拒绝。
这不是普通网页访问失败——而是安全 DNS / DNS over HTTPS 被网络环境或代理结构阻断。
| 影响 | 严重程度 | 说明 |
|---|---|---|
| 首次打开网页慢 | 中 | DoH 超时后 fallback 到普通 DNS |
| APP 短暂卡顿 | 低-中 | 某些 APP 等待 DNS 响应 |
| SYN_SENT 堆积 | 低 | 占少量 NAT 表条目但不致命 |
| 功能完全中断 | 无 | 系统最终会 fallback 到 UDP 53（223.5.5.5 正常工作） |
系统最终还是会 fallback 到普通 DNS。你这里 223.5.5.5:53 工作正常，所以日常上网不会完全中断，只是首次访问可能有几秒延迟。
大量 UDP 3478 → 全球多个 IP，是标准的 WebRTC / STUN / P2P 行为。
固定源端口 64857 向大量公网 IP 发送 UDP 3478（STUN/TURN 协议）。目标遍布全球：
49.13.x.x · 45.159.x.x · 208.83.x.x · 172.237.x.x · 199.38.x.x 等
和你之前的使用情况高度一致：Mac mini + VSCode + 代理环境。Electron 应用（如 VSCode、Slack、Discord）内置的 WebRTC 会自动探测 STUN 节点。
特征非常标准：都是 UDP 3478、会话时间短、数量不夸张、没有高上传、没有异常扫描。更像是 Electron / VSCode / WebRTC / 实时连接框架的正常行为。
有时通，有时失败——国内宽带非常典型的 IPv6 问题。
AAAA? assets.msn.com 成功返回 2600:140b...2400:3200::1 阿里 DNS）正常解析
IPv6 SYN_SENT [UNREPLIED]dst=2001:4860...（Google IPv6）连接超时真正的问题不是 DNS 完全坏了，而是"额外的 DoH 尝试失败"叠加在正常 DNS 之上。基础 DNS 工作正常。
clerk.openrouter.ai 是 OpenRouter 的登录认证 / Web 前端相关域名。说明某设备正在使用或访问 OpenRouter 平台。realtek_loopback_detect_packet 是 Realtek 网卡驱动发出的环回检测广播包，用于检测网络环路。不是异常，几乎所有 Realtek 网卡都会发。| IP | 推断类型 | 关键特征 | 状态 |
|---|---|---|---|
192.168.31.124 |
管理员设备 | SSH 路由器 + 访问管理页 + 外网 HTTPS | ✓ 正常 |
192.168.31.73 |
DoH 异常设备 | 大量 SYN_SENT → 1.1.1.1/8.8.8.8:443 | ⚠ 需修复 |
192.168.31.197 |
WebRTC 设备 | 大量 UDP 3478 + NAT-PMP + NTP | ● 正常（视频/VSCode） |
192.168.31.83 |
Apple 设备 | Apple Push 5223 + iCloud 443 + QUIC | ✓ 正常 |
192.168.31.213 |
IoT 网关 | MQTT 1883 + MQTT TLS 7883 | ● 正常（注意安全） |
192.168.31.84 |
IoT 设备 | MQTT + NTP + UDP 8000/7885 | ● 正常（注意安全） |
192.168.31.206 |
IM / 推送设备 | XMPP 5222 + 5260 + 8080 | ✓ 正常 |
192.168.31.127 |
IM 设备 | 8080 + XMPP 5222（与 .206 相似） | ✓ 正常 |
192.168.31.57 |
P2P / 游戏加速器 | UDP 打洞（同一源端口 → 多 IP 多端口） | ⚠ 需确认 |
192.168.31.72 |
常规设备 | 443 + UDP 53 + 与 .73 相似流量 | ✓ 正常 |
192.168.31.174 |
网页浏览设备 | 大量 HTTP 80 到 CDN/广告服务器 | ✓ 正常 |
192.168.31.19 |
常规设备 | 443 + DNS | ✓ 正常 |
192.168.31.204 |
WebRTC + 浏览 | UDP 3478 + HTTP 80 + 443 | ✓ 正常 |
192.168.31.16 |
电视盒子 / APP | 8080 + 443 | ✓ 正常 |
没有入侵迹象。没有异常扫描、没有连接风暴、没有可疑的反向 Shell 连接、没有加密隧道到未知 IP。所有连接都有合理的业务解释。