NAT 虚拟机是否会继承宿主机的代理登录状态？
判断客户机共享的是基于 IP 的网络授权，还是真正向显式代理完成身份验证。
宿主机登录后客户机仍能上网，并不能证明 NAT 把宿主机的代理密码传给了客户机。两种机制看起来可能相似：
| 机制 | 被授权的是什么 |
|---|---|
| 显式 HTTP 代理身份验证 | 收到诸如 407 的代理质询时，用凭据作出应答，遵循代理的规则 |
| 基于地址的门户或网络访问授权 | 与可见源地址相关联的流量 |
使用 NAT 时，宿主机与客户机的流量可能共用宿主机转换后的源地址。因此，只以该地址为条件的授权可能同时覆盖两者。NAT 本身既不复制浏览器的代理设置，也不为客户机应用生成 Proxy-Authorization。
要区分二者，先确定客户机是连接到显式代理，还是直接经由网关出去。再判断上游策略授权的是用户、连接、设备还是地址。如果客户机确实使用代理，就检查其规则以及现有的已认证连接行为；单凭一次提示无法确定方式。
桥接的客户机会呈现不同的源地址，可能再次遇到门户。IPv6 也可能走与 IPv4 NAT 不同的路径。若需要个人问责，应选择能区分目标用户身份的边界，而不是假定一个转换后的地址就代表一个人。