什么是外网端口映射
家里装了摄像头、NAS 或者自己搭了个网站，想在外面用手机或电脑直接访问？这时候就得靠外网端口映射。简单说，就是让路由器把某个外部请求“转交”给内网的特定设备。比如你在公司想看家里的监控画面，数据得穿过公网，落到你家路由器上，再准确送到那台摄像头所在的主机。
这个过程的核心就是端口映射——告诉路由器：“当有人通过某个外网端口访问我，就把流量导向内网某台设备的指定端口。”
准备工作不能少
动手前先确认几件事。第一，你的公网 IP 地址是不是固定的。很多家庭宽带是动态公网 IP，重启路由器就变，这时候建议搭配 DDNS（动态域名解析）服务，比如花生壳，用一个域名来代替变化的 IP。第二，目标设备的内网 IP 最好设成静态，避免它自己换了地址导致映射失效。
比如你有台 NAS，平时自动获取 IP 是 192.168.1.100，但下次开机可能变成 101，映射就断了。进路由器 DHCP 设置里给它的 MAC 地址绑定固定 IP，一劳永逸。
登录路由器开始设置
打开浏览器，输入路由器管理地址，一般是 192.168.1.1 或 192.168.0.1。输入账号密码登录。不同品牌界面略有差异，但功能位置大同小异。找到“虚拟服务器”、“端口转发”或者“应用管理”这类选项，有些叫“NAT 设置”。
点击添加新规则。需要填几个关键信息：
- 外部端口：你想从外网用的端口号，比如 8080
- 内部 IP：目标设备的局域网地址，如 192.168.1.100
- 内部端口：设备实际监听的端口，比如 Web 服务常用 80
- 协议类型：TCP、UDP 或两者都选，一般 HTTP 用 TCP 就够了
保存后规则生效，路由器就会监听外网 8080 端口，并把所有请求转发到内网那台机器的 80 端口。
举个实际例子
假设你在家里树莓派上跑了个网页服务，默认只能通过 http://192.168.1.50:3000 访问。现在想在公司用手机打开这个页面，只需做以下几步：
- 把树莓派 IP 固定为 192.168.1.50
- 登录路由器，进入端口转发设置
- 添加一条规则：
外部端口：3000
内部 IP：192.168.1.50
内部端口：3000
协议：TCP - 保存并重启规则
然后在公司打开浏览器，输入你的公网IP加端口，比如 http://123.123.123.123:3000，就能看到那个页面了。
常见问题排查
明明设置了还是访问不了？先检查防火墙。Windows 上如果开了防火墙，可能会拦掉进来的连接，记得放行对应端口。Linux 主机也得看看 iptables 或 ufw 是否允许该端口通信。
另外，有些运营商会封掉常用端口，比如 80、443、21 等。如果你发现 80 映射无效，可以试试换成 8080 或 8888 这类非常用端口，往往能绕过去。
还有一种情况是光猫工作在桥接模式，路由器拨号上网，这时没问题。但如果光猫本身是路由模式，又没做映射，那你的路由器其实还在二级网络里，必须在光猫上也做一次映射，或者干脆改成交换机模式。
安全提醒别忽视
开放端口等于把家门钥匙挂网上，一定要谨慎。不要随意映射 22（SSH）、3389（远程桌面）这种高危端口，尤其别用默认端口。可以改成非标准端口，比如把 SSH 从 22 改成 22333，降低被扫描爆破的风险。
有条件的话，配合访问控制列表（ACL），限制只允许特定 IP 段访问。或者上云反向代理，把服务藏在内网，通过 Cloudflare Tunnel 这类工具对外暴露，更安全。
代码示例：查看本机开放端口
在 Windows 上可以用命令快速查看哪些端口正在监听：
netstat -an | findstr LISTENINGLinux 或 macOS 则使用：
lsof -i :3000这能帮你确认服务是否真的启动并监听了正确端口。
外网端口映射不是一次性操作，得结合实际环境不断调整。多试几次，熟悉流程后，以后搭什么都方便得多。