公网IP映射服务器的核心方法就一条：在路由器上做端口转发，把公网IP的特定端口指向内网服务器的IP和端口，同时确保设备有独立公网IP且未被运营商封禁80/443端口。
为什么你的公网IP映射不上
年初有个朋友跟我吐槽，说自己办了电信宽带，光猫里明明能看到公网IP，路由器端口转发也设置了，但手机用流量访问家里NAS就是打不开，我把他的光猫设置截图要过来一看,问题出在光猫拨号上。
现在运营商的宽带接入方式分两种：光猫拨号和路由器拨号。路由器拨号意味着公网IP直接落在路由器WAN口，你设置端口转发就能生效。光猫拨号则是光猫先拿到公网IP，路由器拿到的其实是内网地址,这时候你在路由器上做任何端口映射都徒劳无功。
行业共识认为，国内家庭宽带用户中,相当一部分人遇到映射失败都是栽在光猫身上。
确认你的宽带是不是真·公网IP
先别急着改设置，花两分钟确认一下现状，登录路由器后台，找到WAN口状态，看到IP地址是 100.64.x.x 到 100.127.x.x 这个区间内的，属于运营商级NAT（CGNAT），这意味着你根本没有公网IP,映射无从谈起。
如果WAN口显示的是 183.x.x.x、115.x.x.x 之类常规公网地址，再用手机流量访问一下 ip.sb 这类网站查询你的出口IP，和路由器WAN口IP对比,一致就说明你确实有公网IP。
光猫改桥接让路由器接管拨号
多数情况下光猫默认就是路由模式，你需要把它改成桥接模式，用超级管理员账号登录光猫后台（通常地址是 192.168.1.1），账号为 CMCCAdmin（移动）或 telecomadmin（电信），超管密码各地不同，可以联系装维师傅索取,或者直接用网上公开的超级密码列表试。
找到“网络”或“WLAN”配置里的连接名称，把 INTERNET_R_VID_XXXX 这条连接从“路由”改为“桥接”，保存后重启光猫，接着在路由器里把上网方式从“自动获取IP”改为“PPPoE拨号”，填入宽带的账号和密码,等路由器拨号成功拿到公网IP即可。
路由器端口转发实操
登录路由器后台，找到“端口映射”或“虚拟服务器”功能，各家路由器叫法略有不同，华硕叫“端口转发”，TP-Link叫“虚拟服务器”，小米叫“端口映射”，核心填写三样：外部端口、内部IP、内部端口。
举个例子，把公网IP的 8080 端口映射到内网 192.168.1.100 的 80 端口上，规则就是“外部端口 8080 → 192.168.1.100：80”，保存后，外网用户访问
http://你的公网IP:8080 就能命中你内网服务器。
公网ip怎么映射服务器的场景化配置指南
不同场景下的映射动作不太一样,这里拆开细讲。
家庭宽带公网ip架设网站
家里架网站，优先考虑运营商是否封锁了80和443端口，国内绝大多数省份的运营商封锁了这两个端口，即便你把外部端口设成80，外网访问也会直接被掐断。解决思路是用非标准端口，8080、8443 这类,映射规则照旧。
光猫桥接完成后，在路由器设置里确认端口转发规则以外网端口 8080 指到内网 Web 服务器，再把内网服务器防火墙放行对应端口，通过 http://公网IP:8080 即可访问。
如果你有域名，想去掉端口号访问，可以用 Frp 内网穿透配合一台有公网IP的云服务器，通过 Nginx 反向代理把 80 端口流量转到家里,这块后面聊到内网穿透再细说。
群晖NAS的端口映射
群晖 DSM 系统默认占用了 5000（HTTP）和 5001（HTTPS）两个端口，在路由器端口转发里，外部端口 5000 映射到群晖内网IP的 5000，外部 5001 映射到内网 5001 就好。
群晖本身的“控制面板-外部访问-路由器配置”里也能自动设置端口转发，前提是路由器支持 UPnP，建议手动在路由器上做映射,自动配置有时不够稳定。
Linux服务器的端口映射
服务器场景更简单，在路由器上把喜欢用的端口指过去，例如公网 2222 映射到内网 192.168.1.50 的 22 SSH端口，再修改 /etc/ssh/sshd_config 把 SSH 默认端口改掉,降低暴力破解风险。
运营商封禁端口的规避方案
家庭宽带被限制 80/443 确实麻烦，但你可以明确告诉客服：申请公网IP，用于远程办公用途，运营商一般会放行，部分地区的联通、电信支持通过客服工单申请解封,需要在备案系统里做ICP备案的除外。
整体上用非标准端口最稳，尤其是 8080、8888、20880 这类端口，或者用 IPv6 直连，目前国内运营商给的IPv6地址基本不受端口限制，但对端网络如果没有IPv6支持,这条就得打折扣。
内网穿透和端口映射有什么区别
端口映射的前提是一个可用的公网IP，而内网穿透不需要公网IP，它借助一台拥有公网IP的中转服务器，将流量转发到内网设备,两者核心差异如下：
| 维度 | 端口映射 | 内网穿透 |
|---|---|---|
| 公网IP要求 | 必须有 | 不需要 |
| 速度 | 直接访问，速度快 | 经中转，有额外延迟 |
| 安全性 | 端口暴露易被扫描 | 中转端可用鉴权 |
| 典型工具 | 路由器自带功能 | Frp、Ngrok、花生壳 |
| 适用场景 | 有公网IP的家庭/公司宽带 | 无公网IP的环境 |
公网IP映射服务器遇到运营商封端口时，才能体会到内网穿透的价值，一个典型的方案是拿一台便宜云服务器运行 Frp，这台云服务器只用来转发流量，带宽压力不大时甚至 1M 的配置就够用，本地设备运行 frpc 客户端主动连接云端 frps 服务端，云端把公网 8080 端口流量转发到本地设备端口上,外网用户访问的就是一个无痕的直连体验。
市面上也有蒲公英、ZeroTier 这类组网工具，它们自动建立虚拟局域网，不要求服务器有公网IP，但组网后访问速度受制于 P2P 成功率，多跳中转时延迟较高。选内网穿透还是端口映射，取决于你的网络条件和访问需求，能映射优先映射,真用不了穿透兜底。
公网ip映射服务器多少钱
公网IP映射本身是免费行为，宽带上只要分配了公网IP，路由器中转设置都是零成本的,但你需要对以下三种费用心里有数：
- 家庭宽带申请公网IP：多数电信运营商免费开通，少部分地区需要额外加钱,移动宽带在部分地区申请静态公网IP每月加收数十元。
- 云服务器费用：如果你要通过云中转或用它做反向代理，国内主流厂商的入门级云服务器年付约在几百元，简米云、酷番云每年的新用户优惠机型性价比突出,续费价格会回到常规水平。
- 固定公网IP的EIP费用：云服务器上单独申请弹性公网IP，按带宽计费，1Mbps带宽的月成本大概在二三十元，加上流量费，这个是给服务器绑定固定公网IP用的,不是给家里宽带用的。
家庭宽带拨号获取的公网IP是动态的，隔几天会变，想稳定访问，搭配 DDNS（动态域名解析）就能解决，比如花生壳、简米云解析、Cloudflare DDNS 都是实际可用的方案,零成本。
端口映射后外网无法访问的排查思路
映射做了但外网还是不通，从以下几步逐个排查,八成能解决。
- 内网先测通，在局域网内用另一台设备访问
http://内网服务器IP:端口，如果内网都打不开,问题在服务本身。 - 路由器映射规则确认，对照协议类型（TCP/UDP）、外部端口、内网IP、内网端口四项是否填对，内网IP是服务器的
静态IP
而非 DHCP 动态分配。 - 本机防火墙放行，Windows 服务器在“高级安全Windows防火墙-入站规则”里放行对应端口，Linux 服务器确认 firewall-cmd 或 ufw 规则。
- 外网连通性验证，用手机流量测试，不要连同一个 WiFi，访问
http://公网IP:外部端口，不通则继续查路由器日志或光猫是否还有一层 NAT。 - 运营商封锁排除，换一个不常见端口（8080、18080）再试，如果其他端口通而 80/443 不通,基本就是被封了。
公网ip映射服务器安全吗
直接暴露端口到公网必然引来了扫描器的注意，网上跑着大量自动化漏洞扫描程序，默认端口如 22、3389 属于重灾区。
想要降低风险,建议做三件事：
- 修改默认端口，SSH 不用 22，远程桌面不用 3389。
- 启用防火墙，仅放行必要端口，限制来源IP，路由器上如果支持“允许来源IP”的白名单规则,只放行你办公室的出口IP。
- 密码策略做强，公网服务的登录密码不要用弱口令，套用至少12位大小写字母+数字+特殊字符的组合。
有公网IP但映射不上，主因是什么？
登录路由器后台，如果你的WAN口IP是100开头，说明你压根没拿到公网IP，致电宽带运营商客服，申请“公网IPv4地址”，多数地区的电信、联通可以免费开通，客服电话里说清楚“我家里需要远程办公，需要公网IP”,一般来说是给办的。
动态公网IP环境下，映射后怎么稳定访问？
用 DDNS 服务，把动态IP绑定到一个固定域名上，路由器里如果有“DDNS”功能，填入你的域名和Token即可，华硕、小米、TP-Link这些主流路由器都内置了 DDNS 客户端，也可以用简米云解析脚本在服务器上自动更新，设置完成后，访问域名和访问公网IP效果相同,不再担心IP变化。
端口映射和DMZ主机效果一样吗？
有一部分重叠，但不完全相同，DMZ 主机会把路由器上所有未指定的端口全部转发给内网某一台设备，相当于把该设备完全暴露在公网上，端口映射是精确到端口级别的定向转发。日常方案建议优先用端口映射，需要暴露的范围广才考虑DMZ，DMZ开启时，被指定主机直接接收公网流量，安全防护完全依赖设备自身的防火墙，风险面偏大，如果你是新接触这个领域，不需要动到DMZ,端口映射覆盖绝大多数需求。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/755496.html
