如何将内网端口映射到外网

半夜两点，内网我盯着屏幕上那个红色的端口到外“连接失败”提示，差点把咖啡杯摔了。映射家里那台装着重要测试数据的内网旧服务器，困在内网里出不来，端口到外而我在外地酒店，映射只能干瞪眼。内网后来我花了二十分钟用一条命令解决问题，端口到外那一刻突然明白——端口映射这玩意儿，映射本质上就是内网给内网设备开一扇带锁的侧门。

先搞清楚你要面对什么。端口到外你家路由器分到的映射IP是192.168.1.1这种私网地址，外网根本找不到你。内网想让人家访问你，端口到外就得把路由器的映射公网IP和端口，跟内网某台机器的某个端口“绑”在一起。这活儿通常得在路由器后台操作，但很多人第一步就卡住了——不知道自己有没有公网IP。打电话问运营商，要是对方说“您用的是大内网”，那就别折腾路由器了，直接上内网穿透工具。

有公网IP的情况最简单。登录路由器管理页，找到“端口映射”或“虚拟服务器”选项。我拿自己那台老TP-LINK举例：在“转发规则”里点“虚拟服务器”，填上服务端口（比如8080），再填内网IP（比如192.168.1.100）和对应端口（比如80），协议选TCP，保存就完事。但坑往往藏在细节里——你得确保那台内网机器用的是静态IP，否则它哪天换了地址，映射就断了。我习惯在路由器DHCP设置里给设备绑定固定IP，一劳永逸。

要是没公网IP，也别慌。用frp或者ngrok这类工具，原理是让内网机器主动连一台有公网IP的服务器，再由那台服务器转发流量。拿frp说，你得先有一台云服务器（阿里云最便宜的就行），在服务器上跑frps，内网机器跑frpc。配置文件里写清楚：[ssh] type = tcp local_ip = 127.0.0.1 local_port = 22 remote_port = 6000，然后外网访问时就连服务器IP的6000端口。我第一次配这玩意儿时，忘了在云服务器安全组里放行6000端口，折腾了半小时才发现是防火墙在捣乱。

还有个野路子，适合临时应急。用花生壳这类商业穿透服务，装个客户端，它会给你分配一个临时域名。我试过一次，免费版速度慢得感人，但胜在快——下载、注册、点两下鼠标，完事。要是只为了远程看个监控画面，那够用了。可要是跑数据库或者传大文件，我劝你还是老实配frp，毕竟免费版那带宽，传个100MB的文件能等到你怀疑人生。

最后提醒一句，映射出去等于把内网设备暴露在公网，密码别用123456那种。我见过有人把家里NAS的22端口映射出去，密码还设成admin，结果被人家当肉鸡挖矿，电费账单直接翻倍。安全组和防火墙规则能多严就多严，只放行你需要的端口和IP，别图省事全开。

说到底，端口映射就是个“给门配钥匙”的活儿。钥匙配好了，你在外头也能随时回家拿东西。配歪了，门倒是开了，进来的可不一定是客人。下次再碰到连不上的情况，先查三件事：路由器映射对不对、内网机器防火墙放行没、云服务器安全组通不通。八成问题都出在这仨地方。