端口映射内部端口和外部端口教程

家里装了个监控，端口端口想在单位看一眼。映射路由器设置里翻到“端口映射”，内部填了个80，和外填了个8080，部端保存，口教外网还是端口端口打不开。问题出在哪儿？映射多半是你把内部端口和外部端口搞混了。

端口映射这玩意儿，内部说白了就是和外给家里的设备开个门。你家路由器只有一个公网IP，部端但家里有监控、口教有NAS、端口端口有电脑，映射外网访问谁？内部就得靠端口号来区分。内部端口是设备自己监听的端口，外部端口是你在公网上访问的入口。两者可以一样，也可以不一样。比如你家里两台电脑都开了远程桌面，都默认监听3389，但外网只能访问一个IP，怎么办？把一台的外部端口改成3390，另一台保持3389，这样外网访问IP:3390就进第一台，访问IP:3389就进第二台。内部端口不用动，设备自己还是监听3389。

很多教程喜欢把内部端口和外部端口画成两个管道，我觉得这比喻容易误导。更准确的理解是：外部端口是路由器上贴的标签，内部端口是设备上真实的门牌号。路由器收到外部请求，看一眼标签，然后把数据包转给对应的门牌号。标签可以随便贴，但门牌号必须跟设备实际监听的端口一致。你填错了内部端口，数据包到了路由器就被扔进黑洞，设备根本收不到。

举个真实例子。我帮朋友调试一个海康威视的摄像头，他照着网上教程把内部端口填成8000，外部端口填成8000，结果死活连不上。我查了下，海康的摄像头默认HTTP端口是80，流媒体端口是554，8000是SDK端口，根本不是网页访问用的。他填的内部端口压根儿就不是设备在监听的那个。后来把内部端口改成80，外部端口随便填个8080，立马通了。所以关键不是外部端口选什么，而是内部端口必须精确匹配设备的实际服务端口。

还有个坑，运营商封了80和443端口。你外部端口填80，大概率被运营商拦了，因为家宽不允许你开网站服务。这时候外部端口换成一个高位端口，比如5000、8080、9000之类的，基本就能绕过去。内部端口不用改，设备继续监听80，外部用5000访问，路由器负责转换。

动态IP也是个麻烦事。你路由器重启后公网IP变了，之前保存的映射关系还在，但外部访问地址得跟着变。这跟端口映射本身没关系，但很多人卡在这一步，以为端口没映射对。建议用DDNS，把动态IP绑定到一个域名上，外部端口保持不变，域名变了就自动更新。

最后说个冷门但实用的点。有些路由器支持外部端口范围映射，比如把外部端口10000-10010全部映射到内网某台机器的同一段端口。这功能适合跑P2P下载或者游戏服务器，但日常用不到。你要是只需要开一个服务，老老实实填单个端口就行，别搞复杂了。

端口映射没那么玄乎。内部端口是设备的真实门牌，外部端口是你在公网上的呼叫号码。填对了内部端口，外部端口随便挑个没被占用的高位端口，基本就通了。要是还不通，先查防火墙，再查运营商封禁，最后查设备自身的访问控制列表。八成问题不在端口映射本身，而在别处。