家里那台路由器，外网默认情况下外面是访问进不来的。运营商给你的内网是一个内网IP，比如192.168.x.x或者10.x.x.x，外网这个地址只在你的访问局域网里有意义。外网的内网设备想直接访问它，就像拿北京的外网门牌号去上海找同一栋楼，根本对不上。访问

但需求确实存在。内网我有个朋友做智能家居方案，外网客户经常出差，访问想在外面看看家里的内网摄像头画面，或者重启一下路由器。外网他试过各种办法，访问最后选了一个最笨也最稳的内网：给路由器刷了OpenWrt，然后配DDNS加端口转发。听起来复杂，其实核心逻辑就一句话——让外网知道你的公网地址，并且允许流量打进来。

先搞清楚你的宽带有没有公网IP。打电话问运营商，或者直接看路由器WAN口地址。如果显示的是10开头的、100开头的、172.16到172.31之间的，基本就是内网IP。电信和联通现在很多地区还能申请公网IP，打个客服电话说家里要装监控，通常会给。移动就难说了，大部分是NAT后面的内网，这时候端口转发没用，得靠内网穿透。

有公网IP的情况下，操作其实不复杂。路由器里找到“端口转发”或者“虚拟服务器”，把外部端口比如8080映射到内部某台设备的80端口。然后去DDNS服务商注册一个域名，路由器会定期把变化的公网IP告诉域名服务器。这样你在外面访问yourname.ddns.net:8080，流量就进了你家内网。注意别用80和443，运营商封了这些端口，换成8000以上的。

没有公网IP怎么办？我试过frp、ngrok、ZeroTier这几类方案。frp需要一台有公网IP的服务器做中转，配置稍微麻烦，但速度可控。ZeroTier更省事，装完客户端就组了一个虚拟局域网，外网设备像在家里一样直接访问内网地址。缺点是免费版偶尔延迟高，看视频会卡。Tailscale也不错，基于WireGuard，配置比ZeroTier还简单，适合懒得折腾的人。

安全这块不能马虎。端口转发开了之后，等于在防火墙上凿了个洞。密码别用admin/admin，固件记得更新，能开两步验证就开。我见过有人把3389端口直接映射出去，结果被勒索病毒加密了全部文件。更稳妥的做法是只开放VPN端口，先连VPN再访问内网，这样整个通道都是加密的。

具体到操作，以OpenWrt为例。先装luci-app-ddns和luci-app-frpc，DDNS里填Cloudflare的API token，frpc里填服务器地址和token。保存应用后，外网用手机流量访问域名加端口，能看到登录页面就算通了。如果打不开，检查防火墙规则有没有放行，或者运营商是不是封了端口。换一个高位端口再试。

我自己的方案是Tailscale加本地反向代理。所有设备装Tailscale，手机在外面直接访问内网NAS的IP，速度取决于两端NAT类型。运气好能直连，速度跑满宽带上传；运气不好走中继，大概几百KB每秒。看个文件够了，传大文件还是得等。这种方案不用公网IP，不用改路由器设置，适合大多数人。

最后提一句，别在路由器上跑太多服务。那点CPU和内存，开个DDNS加一个穿透客户端就到头了。真要玩得深，搞个树莓派或者旧笔记本做旁路由，把任务分出去。路由器老老实实做路由，别让它又当防火墙又当服务器又当下载机，迟早死机。