内容摘要：家里有台NAS或者监控，想在外网随时访问，结果发现死活连不上。问题多半出在端口映射上，运营商给你的是内网IP，路由器背后还挡着一道墙。这事不难，但坑不少，我直接说怎么操作。 先确认你的宽带有没有公网I

家里有台NAS或者监控，做端想在外网随时访问，口映结果发现死活连不上。射外问题多半出在端口映射上，做端运营商给你的口映是内网IP，路由器背后还挡着一道墙。射外这事不难，做端但坑不少，口映我直接说怎么操作。射外 先确认你的做端宽带有没有公网IP。打开路由器后台，口映看WAN口IP，射外如果是做端100.64.x.x到100.127.x.x段，或者192.168.x.x、口映10.x.x.x，射外那基本是运营商的大内网。打电话给客服，说家里装监控需要公网IP，一般都能免费开，重启光猫后生效。要是客服死活不给，那就得用内网穿透工具，比如frp或者花生壳，那是另一条路。 拿到公网IP后，登录路由器管理页，找到“端口映射”或者“虚拟服务器”选项。不同牌子叫法不一样，华为叫“端口映射”，TP-Link叫“虚拟服务器”，小米叫“端口转发”。本质都一样：把外网访问的某个端口，转到内网某台设备的某个端口。 举个具体例子。你的NAS内网IP是192.168.1.100，它开了5000端口提供网页访问。你在路由器上添加一条规则：外部端口填5000，内部IP填192.168.1.100，内部端口也填5000，协议选TCP。保存后，用“公网IP:5000”就能从外网访问了。 但别高兴太早。很多光猫自带路由功能，你需要在光猫上做一次端口映射，把外网端口转到路由器WAN口，然后路由器再做一次映射转到NAS。这叫双层NAT，很烦人。最省事的办法是把光猫改成桥接模式，让路由器直接拨号，这样只做一次映射就够了。改桥接需要超级管理员密码，一般贴在光猫背面或者问宽带师傅要。 端口号别乱选。80、443这种常用端口很多运营商封了，就算映射成功也访问不了。用5000、8080、9000这种高位端口，风险小很多。另外，外网端口和内网端口可以不一样，比如外网用12345，内网还是5000，也行，这样能稍微隐蔽一点。 设置完别急着关浏览器。用手机流量（别连自家WiFi）访问“公网IP:端口”测试。如果通了，恭喜。如果没通，检查三件事：第一，防火墙有没有放行这个端口；第二，路由器里的IP是不是设备当前的IP，尤其DHCP可能重新分配；第三，确认你访问的确实是公网IP，别把路由器WAN口的内网IP当真。 还有个细节，家用宽带的公网IP是动态的，重启光猫就变了。要么用DDNS（动态域名解析）绑定一个域名，比如你的名字.asuscomm.com，要么每次手动查IP。DDNS在路由器里一般都有，填个账号密码就行，花生壳、no-ip都支持。 最后提醒一句，端口映射等于把家里的设备暴露在公网上，密码一定设复杂点，系统及时更新。别图方便把DMZ主机开了，那等于把整个设备裸奔。我见过有人映射了SSH端口用弱密码，结果被扫到，硬盘被加密勒索，哭都来不及。安全这事，省一步就是灾难。