服务器IP在路由器下访问不了，多数是端口映射没生效、防火墙拦截或拨号方式不对，先按排查四步走，再从网络源头逐层检查。
服务器IP在路由器下访问不了？先按这四步排查
服务器塞在路由器后面,外网请求想找到它，必须经过路由器转发，这一层没配置好，访问就卡在半路，排查顺序比乱试命令重要得多。
- 第一步,确认服务器当前IP和端口映射里填的IP是否一致。
- 第二步,检查路由器端口映射是否保存成功，是否已重启生效。
- 第三步,临时关闭服务器系统防火墙，排除拦截可能。
- 第四步,在局域网内直接用服务器IP访问服务，确认服务本身正常。
这套流程适合大多数家庭和办公室网络环境,每一步都有对应的验证方法。
第一步：确认服务器IP没有悄悄变化
路由器默认用DHCP分配IP,服务器重启后拿到的地址可能和之前不一样，端口映射里填的是旧IP，流量转发过去自然找不到目标，登录服务器，执行ipconfig（Windows）或ip addr（Linux），记下当前IP，再去路由器后台对比，不一致就改映射，或者给服务器绑定静态IP。
第二步：检查端口映射状态
端口映射规则通常需要保存后才会生效,部分路由器还要重启，进入路由器管理后台，找到”转发规则”或”虚拟服务器”列表，检查外部端口、内部端口和IP是否对应，如果列表里有规则但状态是”未生效”，可以尝试重新编辑，再重启路由器。
第三步：关闭防火墙做对比测试
Windows服务器长期开启自带防火墙,入站规则没建好时会把外网请求全扔了，临时关掉“Windows Defender防火墙”的专用和公用网络，再试一次访问，Linux服务器则用systemctl stop firewalld临时停掉firewalld，能通就是防火墙规则问题，不能通就继续往下查。
第四步：从内网先测试服务是否正常
在局域网内另一台电脑上,输入服务器内网IP加端口，比如http://192.168.1.88:8080，如果连这个都打不开，先排查服务器上的服务进程有没有监听，用netstat -an | findstr 端口（Windows）或netstat -tlnp | grep 端口（Linux）确认。
路由器端口映射怎么设置才能让服务器IP被外网访问
端口映射的本质是把路由器的某个端口“指派”给服务器内网IP，路由器和光猫的型号不一样，菜单位置也有区别，但核心参数都一样。
添加端口映射的具体操作路径
- 用浏览器进入路由器后台,常见地址是
168.1.1或168.0.1，账号密码通常在设备底部标签上。 - 找到“应用设置”或“高级设置”下的“端口映射”或“虚拟服务器”。
- 点击“添加规则”，协议选择TCP或TCP/UDP，按服务类型决定。
- 外部端口填你在外网访问时使用的端口,内部端口填服务器服务实际监听的端口。
- IP地址填服务器当前内网IP。
- 保存规则后,到外网用
公网IP:外部端口测试。
多数路由器在保存规则后立即生效,如果外网访问仍然不通，先别急着改规则，先检查路由器WAN口IP是不是真实公网IP。
为什么映射生效后还是打不开
一种常见情况是宽带运营商分配的是私有IP,路由器WAN口IP如果属于64.0.0到127.255.255，说明运营商侧还有一层NAT，这种情况外网数据根本进不了路由器，端口映射形同虚设，另一种情况是运营商封了常用端口，比如80和443。
业内专家指出,家庭宽带用户没有公网IPv4地址的比例相当大，端口映射方案在部分区域已经失效。
没有公网IP时用内网穿透兜底
没有公网IP,也不打算找运营商索要，内网穿透是更稳的路线，思路是让服务器主动连一台有公网IP的中转服务器，外部用户访问中转服务器的IP加端口，数据再由中转服务器转发给内网服务器。
常见的工具包括frp、ngrok、花生壳，以frp为例，在有公网IP的云服务器上运行frps，在本地服务器上运行frpc，配置好远程端口和本地服务地址，之后外网直接访问云服务器IP加配置的远程端口即可，这种方式不受运营商NAT限制，稳定性取决于中转服务器带宽。
外网访问服务器IP打不开，还要查防火墙和运营商限制
端口映射设置正确,内网访问正常，问题往往集中在防火墙和运营商策略上。
服务器系统防火墙要放行端口
Windows服务器需要手动添加入站规则,打开“Windows Defender防火墙”，选择“高级设置”，点击“入站规则”中的“新建规则”，选择端口，填入需要放行的TCP端口号，选择允许连接，应用到专用和公用网络，Linux服务器则可以用firewall-cmd --add-port=8080/tcp --permanent永久放行端口，然后执行firewall-cmd --reload。
有些服务器还装了安全狗或云锁之类的防护软件,这类工具也会拦截公网请求，查服务器日志，如果完全没有外部IP的连接记录，就说明流量被系统之外的东西挡掉了。
80和443端口被运营商限制时换个端口
个人宽带对80和443端口的限制在多数地区都存在,访问网站如果一直卡在连接超时，可以换成8080、8443、8000这类高端口，改完端口后，路由器端口映射和服务器防火墙也要同步改，换端口不影响服务本身，只影响访问时的URL。
动态公网IP变化用DDNS解决
有公网IP但每次拨号都会变,外网访问没法固定IP，这时去路由器后台开启“动态DNS”功能，注册一个DDNS域名，填好服务商账号密码，路由器会在IP变化后自动更新解析记录，之后用域名代替IP访问，避免每次重新绑IP。
光猫拨号还是路由器拨号，端口映射位置不一样
端口映射写在路由器上,但实际拨号不一定是路由器在拨，光猫处于路由模式时，光猫已经占用了公网IP，路由器只是它的下级设备，外网数据先到光猫，光猫再转给路由器，路由器再转给服务器，只设置了路由器映射，光猫那一层没放行，还是不通。
判断当前拨号模式的方法
登录光猫后台,找到WAN连接设置，如果看到连接方式是PPPoE，说明光猫在拨号，如果连接方式显示Bridge，说明光猫已经桥接，路由器负责拨号，另一个判断办法：路由器WAN口IP和光猫LAN口IP在同一个网段，比如都是192.168.1.x，说明光猫做了路由；如果路由器WAN口IP是运营商分配的公网IP或大内网IP，通常是路由器直接拨号。
光猫路由模式下的DMZ和端口嵌套
光猫无法改成桥接时,做法是把光猫的端口映射或DMZ指向路由器WAN口IP，光猫的DMZ功能会把所有未指定的入站数据扔给路由器，然后在路由器上再配置端口映射给服务器，这样形成两层转发，虽然多绕一次，但能解决问题，配置完以后，重启光猫和路由器，确保规则加载。
服务器IP在路由器下访问不了的Q&A
路由器下服务器IP访问不了，ping得通但端口不通，什么原因
ping用的是ICMP协议,端口用的是TCP或UDP协议，两者走的链路不同，端口不通说明服务进程可能没监听所有网卡，或者防火墙丢弃了TCP包，用telnet IP 端口测试，如果连接被拒绝，优先检查服务监听地址，ss -lnt能看到服务是否监听在0.0.0上，监听在0.0.1则只能本机访问。
换了一个路由器之后，原来能用的端口映射失效了，怎么处理
新路由器默认网段可能和旧路由器不一样,旧路由器分配的内网IP可能是168.1.88，新路由器分配的可能变成168.0.88，登录新路由器，先把服务器IP改成静态绑定，再重新填写端口映射规则，如果服务器使用了固定IP，检查子网掩码、网关和DNS是否匹配新网段。
没有公网IP，又想在公司访问家里的服务器，怎么选
首选内网穿透,成本最低，自建frp需要购买一台有公网IP的云服务器，入门配置即可，但要考虑带宽和流量费用，现成的内网穿透工具如花生壳或ngrok，有免费额度但速度和并发受限，对速度要求高，建议自己搭frp并选择流量便宜的云主机。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8ip%e5%9c%a8%e8%b7%af%e7%94%b1%e5%99%a8%e4%b8%8b%e4%b8%ba%e4%bb%80%e4%b9%88%e8%ae%bf%e9%97%ae%e4%b8%8d%e4%ba%86%ef%bc%8c%e6%80%8e%e4%b9%88%e8%a7%a3%e5%86%b3%ef%bc%9f/
