固定IP加路由器后访问服务器，核心做法是在路由器上配置端口映射（也叫端口转发），把公网IP的某个端口“转交”给服务器内网IP的对应端口，然后通过“公网IP+端口号”从外部访问。光有固定IP还不够，路由器没做转发,外网请求只会停在路由器门口。
固定IP加路由器，为什么不能直接访问服务器
宽带师傅给你拉了一根固定IP的专线，但他给你的这个IP，通常落在了光猫或路由器上，而不是你的服务器网卡上，服务器躲在路由器后面，拿到的是一张类似192.168.1.100的私网地址，外网用户访问你的固定IP时，请求到达路由器后，路由器不知道该把这个数据包送给谁，自然就“拒绝访问”了。
业内专家指出，超过九成“有固定IP但无法访问内网服务”的案例，都是因为端口映射未配置或配置错误，这个环节不解决,服务器配置得再好也白搭。
准备工作，先搞清楚三件事
动手设置之前，花五分钟把下面三个信息确认清楚,能省掉后面一大半的排查时间。
固定IP到底在哪个设备上
- 光猫拨号：固定IP落在光猫上，路由器WAN口拿到的是一个内网IP，此时需要在光猫上做端口映射，或者把光猫改成桥接模式,让路由器来拨号。
- 路由器拨号：固定IP直接落在路由器WAN口，这是最常见的情况,直接在路由器后台做端口映射即可。
- 服务器直连：如果服务器直接通过网线连接光猫并配置了固定IP，那就不需要端口映射，但不建议这么做,等于把服务器裸奔在公网上。
登录路由器后台查看WAN口状态，如果WAN口IP和你申请的公网IP一致,那就是路由器拨号模式。
服务器的内网IP需要固定下来
路由器给设备分配IP通常使用DHCP，设备重启后IP可能变化。强烈建议在路由器后台把服务器IP设为静态分配，通常是“DHCP服务器”设置里，按MAC地址绑定一个固定IP，不然今天映射做了192.168.1.100，明天服务器变成了192.168.1.101,外网访问就断了。
端口号要提前规划
常用服务的默认端口是：远程桌面3389、SSH 22、Web服务80/443，这里有个建议：外网端口尽量别用默认的
，比如把外网3389映射到内网3389，每天会被扫描器攻击上千次，可以用一个高位端口，比如15000,映射到内网的3389。
核心操作，端口映射的完整步骤
以下以最常见的路由器拨号场景为例，不同品牌界面略有差异,但原理一致。
找到端口映射功能入口
登录路由器管理后台（通常是192.168.1.1或其他内网网关地址）,在菜单里寻找以下名称中的任意一个：
- 端口映射
- 虚拟服务器
- 端口转发
- NAT设置
- 转发规则
名称叫“虚拟服务器”的最多，尤其在TP-Link、水星、迅捷这类家用路由上，企业级路由器如H3C、锐捷、华为，通常叫“NAT映射”或“端口转发”。
逐项填写映射规则
以“远程桌面”为例，假设你的服务器内网IP是192.168.1.100,需要开放远程桌面端口：
| 配置项 | 说明 | |
|---|---|---|
| 服务名称 | 远程桌面映射 | 备注用，方便自己识别 |
| 内网IP地址 | 168.1.100 | 服务器固定的内网IP |
| 内网端口 | 3389 | 服务器上服务实际监听的端口 |
| 外网端口 | 15000 | 外网访问时使用的端口 |
| 协议类型 | TCP | 远程桌面是TCP协议 |
| 状态 | 启用 | 勾选生效 |
填完后保存，映射规则即刻生效,无需重启路由器。
验证映射是否成功
在你本地的电脑上（不要连同一个局域网）,打开命令行工具输入：
mstsc在弹出的远程桌面窗口中，计算机栏填写：你的公网IP:15000，比如58.210.33.12:15000，然后回车，如果出现了登录界面，说明映射成功,输入服务器账号密码即可进入。
如果连接失败，别急着怀疑配置,按下面的思路逐步排查。
路由器端口映射失败怎么办
这个问题在实操中特别常见，搞了半天怎么都不通,大概率是卡在下面几个环节。
先确认服务器本地防火墙
服务器系统自带的防火墙没有放行对应端口，映射做得再好也白搭，在Windows服务器上以管理员身份运行命令行,执行以下命令：
netsh advfirewall firewall add rule name="远程桌面" dir=in action=allow protocol=TCP localport=3389Linux服务器使用：
firewall-cmd --permanent --add-port=3389/tcp
firewall-cmd --reload配置完防火墙规则后再试一次，多数情况下,这一步加上去问题就解决了。
检查运营商是否封了端口
国内不少宽带运营商对80端口的备案要求比较严格，部分线路还会封禁443端口，遇到这种情况，外网端口改成一个高位端口，比如18080、15000,再测试一下。
确认路由器有没有开启“允许外网管理”
部分路由器默认打开了“远端WEB管理”功能，会把外网的管理请求引导到路由器后台，而不是转发给内网服务器，去路由器设置中关闭这个选项，否则外网访问会被路由器“截胡”。
有固定IP但没公网IP，怎么办
有用户反馈说自己是固定IP，但配置好端口映射后依然不通，最后发现是运营商给的是“假固定IP”实际上走的是运营商内部的NAT,公网上的其他用户根本访问不到这个IP。
判断方法很简单：找一台不在这条宽带下的手机，用4G/5G网络访问你的固定IP，如果访问不通，基本可以断定是内网IP，行业共识认为，这几年运营商推广的所谓“企业固定IP”中，相当一部分实际是内网IP,通常是因为IPv4地址短缺导致的。
这种情况下，端口映射已经失去了作用，需要用内网穿透方案代替,常见的做法是在服务器上部署：
- frp：开源内网穿透工具，配置灵活，社区活跃
- ZeroTier：组建虚拟局域网，适合多设备互通场景
- 花生壳：国内老牌动态域名解析工具，操作门槛低
以frp为例，用一台有公网IP的云服务器做中转，配置完成后，使用同样的“公网IP+端口”方式访问内网服务器，这种方式对固定IP和动态IP都适用，只是多了个中转环节,延迟会稍高一些。
端口映射的安全防护要点
端口映射等于在你家大门上开了个窗户，不做防护的话，外面的人能透过窗户看到里面的情况，甚至伸手进来,有几个基础防护建议值得落实。
使用非默认端口
把外网端口设置为一个五位数的高位端口，能有效避开大量自动化扫描工具的默认端口扫描，扫描器习惯性地检查3389、22、80这些默认端口,用高位端口能减少很多噪音。
启用服务器自带的安全机制
- Windows服务器启用“账户锁定阈值”，防止暴力破解，设置连续5次失败就锁定10分钟
- 使用强密码，至少16位混合字符，不要用123456这类密码
- 关闭不必要的端口，只映射需要对外暴露的服务
限制来源IP（如果条件允许）
如果你的办公地点IP固定，可以在路由器防火墙里加一条规则，只允许特定IP访问映射的端口，这个效果最明显,等于直接屏蔽了其他人。
固定IP加路由器访问服务器的整体思路
回顾整个流程，核心路径需要理清楚：路由器做端口映射是最关键的环节，把公网流量导入内网服务器，对外访问时，看到的格式始终是“公网IP:映射的外网端口”，如果遇到固定IP加路由器无法访问服务器的情况，每一步排查都按照“端口映射是否配置正确→防火墙是否放行→运营商是否分配了真实公网IP”这个顺序走,不要先怀疑服务器配置。
常见问题
固定IP加路由器后，服务器怎么设置静态内网IP
在路由器后台的“DHCP服务器”设置中找到“静态地址分配”或“地址保留”功能，填入服务器的MAC地址和想要固定的内网IP，保存后重启服务器即可生效，这样端口映射里的内网IP就一直有效,不会因为DHCP租约到期而变动。
固定IP专线的带宽上行有多大
固定IP专线通常上下行对等，也就是说运营商标称100M带宽，上传速度也是100M，这一点和家宽不一样，家宽通常上行只有下行的10%到30%，视地区不同有所差异,带宽大小决定了外网访问你服务器的传输速度上限。
光猫拨号模式下，端口映射配置在哪里
先登录光猫的管理后台（通常是192.168.1.1），使用超级管理员账号登录，在“网络”或“安全”菜单中找到“端口映射”或“NAT配置”进行设置，部分光猫的端口映射功能被运营商隐藏，需要联系宽带装维工程师协助开启，或者直接把光猫改成桥接模式,改用路由器拨号。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/680427.html
