半夜两点，外网进我盯着路由器背面那串IP地址发呆。外网进外网进不来，外网进内网出不去，外网进这破事比写代码还让人抓狂。外网进

其实大部分人都搞混了。外网进所谓“外网进”，外网进根本不是外网进技术问题，是外网进权限问题。你家路由器就是外网进个守门员，默认把所有外来访问全挡在门外——这叫NAT（网络地址转换）。外网进想让外头的外网进人摸进来，你得先给守门员递个条子，外网进告诉他放谁进来。外网进

最土的外网进办法，端口映射。你打开路由器管理页，找到“端口转发”，把公网某个端口（比如3389）指到内网某台机器（比如192.168.1.100）上。外头的人访问你公网IP加那个端口，请求就被精准地砸到那台机器脸上。听着简单？坑多着呢。运营商可能把你公网IP藏起来了——你拨号拿到的是个100.64.x.x的假公网，这叫CGNAT（运营商级NAT）。检测方法很粗暴：登录路由器看WAN口IP，如果和百度搜出来的“我的IP”不一样，恭喜，你被套娃了。

这时候就得请出内网穿透。原理说白了，就是让你内网的机器主动去连一台有公网IP的服务器，建立一条隧道。外网的人访问那台服务器，数据就顺着隧道流进你内网。工具我常用frp，配置就几行：

[ssh]
type = tcp
local_ip = 127.0.0.1
local_port = 22
remote_port = 6000

跑起来后，外网人连你服务器IP的6000端口，就等于连上了你家里那台Linux的22端口。这法子稳，但得有个公网服务器，一个月得烧几十块。

不想花钱？试试ZeroTier或者Tailscale。这俩搞的是虚拟局域网——把你家电脑、公司电脑、手机全拉进一个加密的“局域网”里。装完客户端，登录同一账号，设备之间就能直接互访。感觉像开了个私密的地下通道，不走公网，不暴露端口，连防火墙都懒得管你。缺点是速度看脸，有时候慢得像蜗牛爬。

还有个野路子，用IPv6。现在很多运营商已经分配了公网IPv6地址，每台设备都有自己全球唯一的IP。你要是家里网络支持IPv6，路由器里关掉IPv6防火墙，外网直接访问你的IPv6地址就行。但麻烦在于——你出门用的4G/5G网络未必有IPv6，而且很多老设备根本不支持。我试过一回，折腾半天，最后发现手机连的WiFi压根不走IPv6，白忙活。

说到这得提一嘴安全。外网能进来，就意味着你的设备暴露在全世界扫描器的眼皮底下。我见过有人图省事，把3389端口裸奔到公网，结果三天后被暴力破解，中了勒索病毒。密码设复杂点，最好换个非默认端口，有条件就上密钥认证——别拿自家数据开玩笑。

最后说个最常见的坑。你搞定了所有配置，外网还是进不来——八成是路由器防火墙没放行。有些路由器默认开启“SPI防火墙”，就算做了端口映射也给你拦了。去防火墙设置里把对应端口设为“允许”，或者直接关掉SPI（不推荐，除非你确定内网没啥敏感东西）。

说到底，外网怎么进？先确认自己有没有真公网IP，没有就上穿透工具，有就老老实实做映射。别迷信什么“一键穿透”，那多半是拿你数据换的免费午餐。自己动手配一次frp，你就能摸清网络那点门道——比看一百篇教程都管用。

(责任编辑：焦点)