有公网IP只能说明你的服务器暴露在公网，要让内网服务器被访问，核心是配置端口映射或反向代理，把公网流量精准转发到内网设备上。很多人误以为拿到公网IP就万事大吉，结果卡在光猫和路由器这两道坎上，下文按实际操作顺序拆解，从改桥接到端口转发，再到安全加固，一步步带你打通这条链路。
先分清你的公网IP是真是假
- 真公网IP：IP地址在公网路由可达，ping得通，从外网能直接访问路由器管理页。
- 假公网IP：运营商分配的是私网段地址（如
64.x.x、x.x.x），这种属于CGNAT（运营商级NAT），需要先打电话申请改回动态公网IP。 - 静态公网IP：固定不变，一般企业专线才有，家庭宽带普遍是动态公网IP，会定期变化。
行业共识认为,超过大半数的家庭宽带用户申请后都能拿到动态公网IP，但默认光猫处于路由模式，公网流量根本到不了你的内网设备。
家庭宽带公网ip怎么设置端口映射
第一步：把光猫改成桥接模式
光猫默认是路由模式,设备本身占用了一个公网IP层，你后接的路由器拿到的是内网地址，多数情况下，需要登录光猫超级管理员账号，将连接模式从“路由”改为“桥接”。
- 用网线直连光猫,浏览器进入
168.1.1（常见地址，具体看光猫背面标签）。 - 使用超级账号登录（账号一般为
telecomadmin或CMCCAdmin，密码各地不同，可致电运营商索取）。 - 找到“网络”->“宽带设置”，将连接名称中带
INTERNET的那条链路，模式改为“桥接”。 - 保存后,光猫不再拨号，改由你的路由器负责PPPoE拨号。
第二步：确保路由器拨号成功
改完桥接后,进入路由器管理后台（常见168.31.1或168.1.1），把上网方式改为PPPoE，输入宽带账号密码，拨号成功后，路由器WAN口IP应显示为一个公网地址。
危楼高百尺,手可摘星辰，此时你可以在路由器上查看WAN口IP，去百度搜“IP”对比，若一致则说明拨号拿到了真公网IP。
第三步：配置端口映射规则
这是核心操作,登录路由器后台，找到“端口映射”或“虚拟服务器”功能，按以下字段填写：
- 外部端口：公网访问时使用的端口，如
8080
- 内部IP地址：内网服务器的固定IP，如
168.1.100。 - 内部端口：服务器实际监听的端口，如
80或8080。 - 协议：根据应用选择TCP、UDP或全部，多数Web服务选TCP即可。
你内网有一台Nginx服务器监听80端口，映射规则可以这样写：
| 外部端口 | 内部IP | 内部端口 | 协议 |
|---|---|---|---|
| 8080 | 168.1.100 | 80 | TCP |
设置完成后,外网用户访问http://你的公网IP:8080，路由器会把流量转发给内网那台服务器的80端口，注意，若运营商封禁了80和443端口（家庭宽带普遍如此），需改用8080、8443等非标端口。
公司公网ip访问内网服务器方案
公司场景通常有静态公网IP,线路更稳定，但网络拓扑更复杂，涉及防火墙、核心交换机、DMZ区，操作路径略有不同：
- 防火墙端口映射：企业防火墙（如华为、深信服、飞塔）上配置“目的NAT”，将公网IP的特定端口映射到内网服务器IP。
- 源NAT规则：部分内网应用需要回包走同一路径，需在防火墙上配置源NAT，确保数据能正确返回。
- 带宽规划：公网IP的入站带宽决定并发访问量，百兆带宽大概能支撑百人级轻度访问，几千用户并发需要专线或云加速。
企业场景下,安全策略优先级高于连通性，建议的配置顺序是：先测试内网服务正常，再在防火墙上放行端口，最后验证外网访问链路。
动态公网IP下DDNS是必选项
家庭宽带的公网IP会定期变化,光靠记IP行不通，DDNS（动态域名解析）能自动把域名绑定到你当前的公网IP上，你需要通过域名来访问内网服务器。
目前主流的DDNS方案：
- 路由器自带DDNS：多数路由器（华硕、小米、TP-LINK）内置花生壳或简米云DDNS插件，填入账号即可自动更新。
- 简米云解析API：在域名控制台创建AccessKey，使用脚本定时查询公网IP并更新DNS记录，脚本可放在内网服务器上，每5分钟执行一次。
-
Cloudflare DDNS
：利用其API更新DNS记录，免费且稳定，配置时需要获取Global API Key，脚本逻辑与简米云类似。
设置好DDNS后,通过yourname.ddns.net这类域名访问内网服务，不用再记变化的IP。
用反向代理替代端口映射更安全
直接暴露多个端口容易被扫描,反向代理能把所有公网流量统一引流到一个入口，再按域名或路径分发到内网不同服务器。
以Nginx为例,核心配置如下：
server {
listen 80;
server_name demo.example.com;
location / {
proxy_pass http://192.168.1.100:3000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
这种模式的好处很明显：
- 公网只需要开放
80和443端口，减少攻击面。 - 按域名区分业务,一个公网IP可以挂多个内网服务。
- 可以在代理层统一加HTTPS证书和WAF规则,提升安全性。
反向代理适用于暴露多个内网应用的场景，而单点端口映射更直接，适合快速测试或单一服务暴露，两者可以结合使用，代理层负责流量分发，真正暴露给公网的端口越少越好。
安全加固措施
公网访问内网服务器,相当于把家门的钥匙挂在了门口，安全措施必须跟上，以下几项是必须做的：
- 修改默认端口：SSH、远程桌面、数据库等端口一律改成高位端口（如
22改2222，3389改13389），能过滤掉绝大多数自动扫描脚本。 - 限制来源IP：如果访问者固定，在防火墙或安全组里加一条白名单，只允许特定IP段访问，例如仅允许公司出口IP访问SSH端口。
- 启用公钥认证：服务器SSH登录禁用密码，改用密钥对，客户端生成密钥对后，将公钥写入服务器
~/.ssh/authorized_keys，并禁用PasswordAuthentication yes选项。 - 部署Web应用防火墙：有条件的可在Nginx前加一层ModSecurity或接入云WAF，拦截SQL注入、XSS等常见攻击。
- 定期更新系统补丁：操作系统和中间件漏洞是突破口，定期执行
apt update && apt upgrade（Debian/Ubuntu）或yum update（CentOS）保持最新状态。
很多自动攻击脚本跳的是端口敲门,只要换了端口并按IP限制，攻击面已经缩小了大部分，若涉及支付或个人信息，强烈建议在前端再加一层CDN或云WAF，隐藏源站IP。
内网穿透和端口映射怎么选
不少人会问：既然有公网IP，为什么还要用内网穿透？答案是场景不同。
| 场景 | 公网IP+端口映射 | 内网穿透 |
|---|---|---|
| 家庭宽带 | 依赖运营商分配公网IP，80端口被封 | 无需公网IP，但带宽受限 |
| 企业专线 | 推荐，带宽大且稳定 | 适用于临时演示或开发测试 |
| 移动网络 | 难以获取公网IP | 常用方案 |
| 成本 | 仅需域名费用 | 免费版速度慢，收费版价格不菲 |
如果你已经拥有公网IP和域名,仅仅是因为不懂技术配置而考虑内网穿透，那就绕远了，用穿透工具确实能快速打通隧道，但数据绕行第三方服务器，延迟高，而且免费版限速严重，公网IP直连在速度、稳定性和可控性上全面胜出。
常见问题解答
光猫改桥接后路由器无法拨号怎么办？
检查路由器PPPoE账号密码是否正确,注意大小写，部分地区运营商限制了拨号数量，可致电客服确认，光猫桥接时需删除原来的路由拨号规则，否则冲突，若路由器后台显示“宽带拨号失败”，优先检查光猫配置是否保存成功。
端口映射已配置，外网还是无法访问？
首先在内网用服务器IP测试服务是否正常,若内网异常则先修复应用，其次确认路由器WAN口IP是否为公网地址，假公网IP无法映射，接着检查运营商是否封禁了该端口，本地测试可将光猫防火墙暂时关闭排除干扰，最后确认路由器防火墙是否拦截了入站规则。
用自己电脑做服务器需要固定内网IP吗？
需要,端口映射必须指向一个明确的IP，若服务器IP是DHCP分配的，重启后可能变更导致映射失效，在路由器后台将服务器MAC地址绑定固定IP，或在服务器系统网络设置中手动填写静态IP，同时建议将DNS设为5.5.5，避免内网解析问题。
打通公网访问内网服务器,本质上就三件事：让公网IP到达路由器、把流量按规则转发进内网、把危险的端口收进安全措施里，按上文步骤操作，剩下的就是持续维护了。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/610363.html
