把内网的内网一台 Web 服务器 192.168.1.100:80 暴露到公网，让外面的端口到外人通过 203.0.113.5:8080 访问，这件事听起来简单，映射做起来翻车的网端概率不低。我见过太多人配完端口映射后，口设自己在内网用公网 IP 访问正常，内网叫朋友帮忙测试却打不开——问题往往不在映射本身，端口到外而在路由器防火墙、映射运营商封端口或者 NAT 回流这些坑上。网端

先说清楚原理。口设端口映射（Port Forwarding）本质是内网一条 NAT 规则：路由器收到发往公网 IP 某个端口的数据包时，按规则改写目标地址，端口到外转发给内网指定 IP 的映射指定端口。出去的网端回包再反向改写回来。整条链路里，口设路由器是唯一需要配置的设备，内网服务器不用做任何改动。

路由器上怎么操作

登录路由器管理后台，地址通常是 192.168.1.1 或 192.168.0.1。找到「端口转发」「虚拟服务器」或「NAT」这类菜单——不同品牌叫法不一样，TP-Link 叫「虚拟服务器」，华硕叫「端口转发」，小米路由器藏在「高级设置」里。

添加规则时填四个关键字段：

• 外部端口：公网访问时用的端口，比如 8080
• 内部 IP：内网服务器的地址，比如 192.168.1.100
• 内部端口：服务器实际监听的端口，比如 80
• 协议：TCP、UDP 还是两者都选，Web 服务选 TCP 就行

保存生效。这时候理论上一台外网设备访问 203.0.113.5:8080 就能通到内网那台机器。

几个必须提前确认的事

内网服务器的 IP 得是静态的。如果它用 DHCP 获取地址，路由器重启后 IP 可能变，映射规则就指向了一台不存在的机器。要么在服务器上手动设固定 IP，要么在路由器里做 DHCP 静态绑定。我自己习惯在路由器里绑定 MAC-IP，省得去动服务器配置。

服务器的防火墙要放行对应端口。Windows 防火墙默认拦入站连接，Linux 上 iptables 或 firewalld 也可能没开。很多人映射配好了但访问不通，最后发现是服务器自己把包丢了。

公网 IP 必须是真实的。国内宽带大量使用运营商级 NAT（CGNAT），你路由器 WAN 口拿到的可能是 100.64.x.x 这种地址，根本不是公网 IP。这种情况下端口映射配到天亮也没用，得打运营商电话申请公网 IP，或者改用内网穿透工具。怎么判断？看路由器 WAN 口 IP 和百度搜索「IP」显示的地址是否一致，不一致就是 CGNAT。

测试和排错

别在内网用公网 IP 测。很多路由器不支持 NAT 回流（Hairpin NAT），内网设备访问自己的公网 IP 会失败，但外网访问其实是通的。用手机切 4G/5G 流量测，或者让朋友帮忙访问，结果才靠谱。

如果外网还是打不开，按这个顺序查：先确认公网 IP 真实，再确认路由器映射规则没写错，然后关掉服务器防火墙试一次，最后检查运营商有没有封端口。80 和 443 端口在国内家宽上基本被封，换成 8080、8443 这类高位端口通常没问题。

还有个容易忽略的点：部分路由器同时有 IPv4 和 IPv6 防火墙设置，你只配了 IPv4 的映射，但外网客户端优先走 IPv6 连接，结果自然不通。要么把 IPv6 防火墙也放行，要么干脆在路由器上关掉 IPv6。

安全性上多说一句。端口映射等于把内网机器直接怼到公网，SSH 的 22 端口、数据库的 3306 端口千万别直接映射出去。真要远程管理，换个高位端口 + 密钥认证 + fail2ban，或者套一层 VPN。我自己的做法是只映射必要的 Web 端口，管理类服务全部走 WireGuard。