外网访问局域网服务器

上周帮朋友调试一台老式NAS，外网网服务器他人在外地，访问想访问家里服务器上的局域照片。路由器端口映射配好了，外网网服务器DDNS也设了，访问结果还是局域连不上。折腾一晚上，外网网服务器最后发现是访问运营商把80端口封了。换了个8443端口，局域秒通。外网网服务器

这就是访问外网访问局域网服务器的常态——技术不难，坑不少。局域核心就一句话：让外网请求能找到你家那台藏在NAT后面的外网网服务器机器。

最直接的访问办法是端口映射。在路由器管理页面找到“虚拟服务器”或“端口转发”选项，局域把公网IP的某个端口指向内网服务器的IP和端口。比如你路由器公网IP是1.2.3.4，内网服务器是192.168.1.100，你想用远程桌面，就把公网的3389端口映射到192.168.1.100的3389端口。外网访问时输入1.2.3.4:3389就行。

但有个现实问题——普通家庭宽带的公网IP大多是动态的，隔几天就变。这时候DDNS（动态域名解析）就派上用场了。花生壳、no-ip这类服务能给你一个固定域名，自动把域名解析到当前公网IP上。你只需要在路由器里填上DDNS账号密码，它自己会更新。

端口映射和DDNS都搞定后，还有个隐性门槛——运营商封锁。国内很多地区封了80、443等常用端口，你就得换高位端口，比如8443、50000这种。我见过有人把SSH端口映射到60022，用起来没毛病，就是记起来费劲。

如果不想碰路由器设置，内网穿透工具是另一条路。frp、ngrok这类软件能在内网服务器上跑一个客户端，主动连到公网服务器建立隧道。外网用户访问公网服务器的某个端口，流量就顺着隧道转发到你的内网机器上。好处是无需公网IP，坏处是得有一台有公网IP的中间服务器，还得自己维护。对小白来说，直接买蒲公英或者ZeroTier的组网服务更省心——它们把设备虚拟到同一个局域网里，像访问内网一样访问远程机器，完全不用管端口映射。

挑方案前先想清楚你的场景。偶尔远程连一下管理界面，端口映射加DDNS足够；天天要传大量文件，内网穿透的转发带宽可能不够用；要是家里有公网IP但被运营商做了NAT（大内网），那只能走穿透工具了。判断方法很简单——看路由器WAN口IP是不是100.64.x.x到100.127.x.x这个段，是的话基本就是运营商级NAT，没戏。

最后提醒一句安全。端口映射等于把门开了一条缝，密码别用弱口令，能改端口就改，能用密钥认证就别用密码。我见过有人把3389端口裸奔在公网上，被暴力破解是分分钟的事。给服务器装个fail2ban之类的东西，连续失败几次就封IP，能挡掉大部分脚本小子。

说到底，这活儿就是一层窗户纸。捅破了，远程访问自家服务器跟串门一样简单。捅不破，你只能对着路由器登录页发呆。