把内网服务器暴露到公网，把内最直接的网服务器外网办法就是端口映射。但这不是访问唯一的路，甚至很多时候不是把内最好的路。

我见过太多人一上来就改路由器设置，网服务器外网把3389或22端口直接怼到公网。访问结果呢？把内三天两头被扫描爆破，日志里全是网服务器外网陌生IP的尝试记录。有个朋友的访问公司就这么干过，某天早上发现服务器被植入挖矿程序，把内CPU跑满100%，网服务器外网数据还被加密勒索了。访问惨痛教训。把内

先说说最传统的网服务器外网方案：路由器端口映射。你登录光猫或路由器的访问管理界面，找到“虚拟服务器”或“端口转发”选项，把公网的某个端口（比如8080）映射到内网某台机器的IP和端口（比如192.168.1.100的80端口）。这样外网用户访问 http://你的公网IP:8080 就能到达内网服务。听起来很简单对吧？但前提是你得有公网IP。现在很多家庭宽带和部分企业宽带用的是大内网地址（100.64.x.x），根本没有真正的公网IP，端口映射无从谈起。

没有公网IP怎么办？内网穿透工具是另一个选择。像ngrok、frp、花生壳这类软件，原理都是让你的内网机器主动向外网的服务器建立一条长连接，然后外网用户通过那台中转服务器来访问你的内网服务。我常用frp，因为它开源免费，还能自己搭建中转服务器，数据不经过第三方。配置也不复杂：下载frp压缩包，服务端（有公网IP的VPS）运行frps，内网机器运行frpc，改一下配置文件里的端口和映射关系就行。有一次我在咖啡馆给客户演示系统，笔记本连的是咖啡馆WiFi（没有公网IP），用frp临时开个隧道，客户在手机4G网络下直接访问演示页面，顺畅得很。

但穿透工具也有坑。免费版的速度和稳定性都没保障，ngrok免费版有时候连接会断，得手动重连。如果你跑的是数据库或文件传输这类对延迟敏感的服务，穿透方案体验会很差。这时候VPN（虚拟专用网络）反而是更好的选择。别一听VPN就想到翻墙，正经用法是搭一个WireGuard或OpenVPN服务端，你人在外面时先连回公司内网，然后像坐在办公室一样直接访问内网IP。安全性和速度都比穿透好，缺点是需要一台有公网IP的服务器做跳板，而且客户端得装软件。

还有个更轻量的思路——只暴露特定应用，不暴露整个网络。比如你只是想让别人访问一个网页服务，可以用Cloudflare Tunnel。它在你的内网机器上装个cloudflared守护进程，然后通过Cloudflare的全球网络转发流量。好处是连公网IP都不用，域名解析也帮你搞定，还自带HTTPS证书和防火墙规则。我给自己家里跑的NAS就是这么弄的，出门在外用浏览器访问自家相册，速度还挺快。

最后提醒一句：无论选哪种方式，都别把管理端口（比如SSH的22、远程桌面的3389）直接暴露。换用非标准端口、启用密钥登录、加fail2ban这类防爆破工具，都是基本操作。安全不是事后补救，是架构设计的一部分。

(责任编辑：知识)