win7远程连接服务器端口映射的完整方案是：在win7电脑上开启远程桌面服务、放行3389端口，再到路由器或云服务器安全组中设置端口转发规则，把公网端口映射到win7的内网IP上。
win7远程连接服务器端口映射为什么必须做
很多人第一次接触win7远程连接时,会直接打开远程桌面输入对方IP，结果发现连不上，多数情况下不是操作错了，而是数据包根本没到达那台win7电脑。
远程桌面默认走3389端口，家庭宽带或公司局域网里的win7电脑，处于一个内网环境中，公网无法直接访问它的私有IP地址，路由器像一道门卫，外部请求默认会被拦在门外，端口映射的作用，就是告诉路由器：收到哪个端口的请求，就转给内网的哪台机器。
行业共识认为,超过九成的远程连接失败案例，问题都出在端口映射或防火墙规则上，而不是远程桌面服务本身损坏。
win7远程桌面端口映射设置步骤
第一步：开启win7远程桌面功能
右键“计算机”图标，选择“属性”，点击左侧“远程设置”，在“远程桌面”区域勾选“允许运行任意版本远程桌面的计算机连接”，这一步是win7远程连接服务端的开关，不打开它，后续所有映射工作都没有意义。
同时建议确认当前登录账户有远程连接权限,如果用的是普通账户，点击“选择用户”按钮，把账户加进去。
第二步：固定win7电脑的内网IP地址
端口映射规则里填写的IP地址,必须是固定的，否则win7电脑重启后IP变了，映射就失效了。
打开命令提示符（快捷键win+R输入cmd），输入ipconfig，记录当前IPv4地址、子网掩码和默认网关，然后进入“控制面板网络和共享中心更改适配器设置”，右键本地连接选“属性”，双击“Internet协议版本4（TCP/IPv4）”，选“使用下面的IP地址”，填入刚才记录的参数，DNS可以填
114.114.114或5.5.5。
第三步：在路由器上配置端口映射
登录路由器管理后台,一般地址是168.1.1或168.0.1，不同品牌路径有差异，但核心逻辑一致：找到转发规则、虚拟服务器或端口映射菜单。
添加一条规则,表格里通常需要填写：
| 配置项 | |
|---|---|
| 服务端口 | 3389（或自定义的外网端口） |
| 内网IP地址 | 刚才固定的win7电脑IP |
| 内网端口 | 3389 |
| 协议 | TCP（或ALL） |
| 状态 | 启用 |
保存后,用手机流量（不要连同一个WiFi）访问公网IP:3389测试是否通。
第四步：设置win7防火墙入站规则
多数情况下win7会在开启远程桌面时自动放行3389端口,但部分精简版系统或安全软件会拦截，点击“控制面板Windows防火墙高级设置入站规则”，找到“远程桌面”相关规则，确认状态是“允许”，如果被禁用，右键启用。
也可以在管理员命令提示符中执行：
netsh advfirewall firewall add rule name="RemoteDesktop" dir=in action=allow protocol=TCP localport=3389这条命令的作用是显式添加一条放行3389端口TCP入站流量的规则,如果之前的规则状态混乱，直接执行会省去很多排查时间。
服务器端口映射到win7的两种场景区别
家宽拨号上网的路由器映射
这类网络环境的主要问题是公网IP不固定，给路由器设置端口映射后，还需要配合DDNS（动态域名解析）服务，比如使用花生壳或路由器自带域名服务，把变化的IP映射到一个固定域名上，外网访问时输入域名加端口号，路由器会自动解析到当前公网IP。
云服务器中转映射
如果目标是远程连接一台云服务器上的win7系统,操作路径会有差异，云服务器没有路由器，端口映射逻辑体现在安全组规则上，需要在云控制台找到“安全组”列表，添加入方向规则，放行TCP端口3389（或自定义端口），源地址建议缩窄到自己的办公网IP段，减少被扫描攻击的风险。
win7远程连接端口映射后连不上的排查思路
端口映射配置完成,但依然连不上，这种现象背后有几种常见原因，顺着下面的顺序逐一排查，能快速定位问题，不用从头摸索各种可能性。
排查公网IP是否有效
在win7电脑上访问ip138.com或ip.cn这类网站，查看显示的IP地址，然后让外网朋友ping一下这个IP，ping不通且提示超时，说明运营商可能分配的是大内网IP，需要致电宽带客服申请公网IP，或改用内网穿透方案。
检查路由器是否支持回流
如果外网能连上，但局域网内部用公网IP访问不了，这是路由器不支持NAT回流导致的，属于正常现象，不影响实际使用。
确认端口没有被封
国内运营商对80、443等常用端口管控较严，但对3389端口一般没有限制，如果你自定义了外网端口，建议避开8080等常见代理端口，使用50000以上的高位端口更稳妥。
telnet测试端口连通性
在外部电脑的命令行执行telnet 公网IP 端口号，如果光标停留在黑色窗口内没有提示，说明端口已通；如果提示“无法打开到主机的连接”，则说明链路中某个环节仍然不通。
扫描软件导致端口冲突
win7系统如果安装了其他远程类软件（如向日葵、TeamViewer），它们占用端口或注册表项，也可能干扰系统自带远程桌面的监听，可以先用
netstat -ano | findstr 3389命令查看端口监听状态，正常情况下会显示LISTENING。
长期使用win7远程连接的稳定建议
win7系统本身已停止官方安全更新,长期暴露公网风险较高，如果win7远程连接必须面向公网使用，有几个习惯能显著降低被入侵的概率：
- 修改默认3389端口,在注册表
HKLMSYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp中修改PortNumber值，改成自定义端口，然后重启系统。 - 开启账户登录失败锁定策略,在“管理工具本地安全策略账户策略”中设置三次失败锁定，如果不想纠结具体数值，直接启用并把阈值设为5次即可。
- 创建专用远程账户,不要给Administrator设置弱密码，密码至少包含大小写字母和数字，长度不低于12位。
业内专家指出,端口映射本质上是把内网服务暴露到公网，每一次映射都在扩大攻击面，因此非必要不长期开放。
win7远程连接相关Q&A
win7远程连接端口映射设置了为什么还是连不上？
先确认win7电脑的防火墙是否拦截了3389端口,命令行为netsh advfirewall firewall show rule name="RemoteDesktop"，再确认路由器映射时填写的内网IP和win7当前IP是否一致，很多路由器重启后重新分配IP，导致映射失效，最后用外部网络（手机热点）测试，局域网内用公网IP测试不具备参考性。
win7远程桌面映射到外网用什么端口最安全？
3389是默认端口,黑客扫描频率最高，建议改成33890这类五位数高位端口，配合强密码和账户锁定策略，能过滤掉绝大多数自动化扫描攻击，修改后，在路由器上把外网端口和新端口对应起来即可，例如外网输入IP:33890，路由器转发到内网win7的3389端口，这样做的好处是既改了监听端口，又不影响系统默认设置。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/588211.html
