如何通过端口映射来访问内网电脑
我上周帮朋友修一台老家的何通电脑，他人在广州，过端机器在湖南老家。口映系统卡死，射访远程软件又没装，问内网电我让他爸把路由器管理页面打开，何通我对着手机屏幕远程指挥，过端硬是口映敲了二十分钟命令才把SSH端口映射出去。如果提前配好端口映射，射访这事儿一分钟就解决了。问内网电
端口映射的何通本质，就是过端把路由器这个“门卫”骗过去。你家电脑在局域网里，口映IP是射访192.168.x.x，外人根本摸不到。问内网电但路由器有个公网IP，全世界都能访问。你在路由器上设置一条规则：凡是访问我公网IP的3389端口（或22、5900等），统统转给内网那台192.168.1.100的电脑。这样，你在外面用公网IP加端口，就能直接连上内网机器。
具体操作分三步。第一步，给目标电脑设固定内网IP。别用DHCP自动分配，否则路由器重启后IP变了，映射就失效。进入电脑网络设置，IPv4那里手动填一个，比如192.168.1.100，子网掩码255.255.255.0，网关填路由器地址。第二步，登录路由器管理后台，找到“端口映射”或“虚拟服务器”选项。不同品牌叫法不一样，TP-Link叫“虚拟服务器”，华硕叫“端口转发”，小米叫“端口映射”，但功能都一样。添加一条规则：外部端口填你想暴露的端口，比如3389（Windows远程桌面默认），内部IP填192.168.1.100，内部端口也填3389，协议选TCP。
第三步，也是最坑的一步——你得知道自己的公网IP。很多人以为路由器WAN口显示的IP就是公网IP，其实未必。运营商可能给你分配了一个内网IP（100.64.x.x到100.127.x.x段），这叫CGNAT，大内网。最简单的验证方法：百度搜“IP”，看到IP后，用手机流量ping一下，或者直接拿另一台外网设备尝试连接。如果连不上，说明你在运营商的大内网里，端口映射白搭。这时候要么打电话找运营商要公网IP（就说家里装监控需要），要么用内网穿透工具如frp或ZeroTier替代。
我自己的经验是，光映射端口还不够，安全措施必须跟上。暴露3389端口到公网，等于把门钥匙挂在门口。全世界扫描机器人每几分钟就会扫一次，弱密码分分钟被爆破。我见过太多人图方便，Administrator密码设个123456，结果中勒索病毒。所以要么改掉默认端口，比如外部端口映射成63389，内部还是3389；要么只允许密钥登录（SSH场景），Windows则开启NLA网络级别认证。密码必须12位以上，混合大小写数字符号。
如果你只是想临时访问一次，映射完用完就删掉规则，别长期挂着。如果是长期需求，建议用VPN方案，比如WireGuard，映射一个UDP端口进去，其他端口全关。这样攻击面小得多。
还有一个细节常被忽略：防火墙。Windows自带防火墙默认会拦截远程桌面，你得在“允许应用通过防火墙”里勾选“远程桌面”。有些安全软件也会拦，装360或火绒的，记得放行。Linux的话，ufw或firewalld要放行对应端口。
最后说个真实翻车案例。我同事按教程映射了3389，在外面用手机远程连公司电脑，死活连不上。查了半天，发现他路由器WAN口IP是100.88.x.x，运营商大内网。后来打客服申请公网IP，那边说可以，但要重启光猫。重启后IP变了，他又重新映射，折腾半小时才通。所以动手前先确认网络环境，别在CGNAT上浪费时间。
端口映射不是万能药。动态公网IP会变，你还得配合DDNS（动态域名解析）才能用固定域名访问。但这又是另一个话题了。先把映射搞定，至少你能在外面摸到家里的电脑——前提是你没被运营商关进大内网。