上周帮朋友调试一台老掉牙的器设TP-Link路由器，折腾了三个小时才搞定外网访问。置外他买了个家用监控摄像头，网访问想上班时偷偷看一眼自家猫，器设结果发现手机连上Wi-Fi能看，置外一到公司就黑屏。网访问这问题太典型了——路由器默认就把外网访问全给挡了。器设
你打开路由器管理页面，置外通常地址是网访问192.168.1.1或192.168.0.1，输入管理员密码进去。器设别急着找“外网访问”这种按钮，置外它藏在好几个地方。网访问首先你得搞清楚，器设运营商给你的置外宽带IP是公网IP还是内网IP。打个电话问客服，网访问或者登录路由器状态页看WAN口IP，如果IP是100.64.x.x到100.127.x.x这种段，恭喜你中奖了，运营商用了CGNAT，你压根没有公网地址，外网访问这条路直接堵死。这时候只能打电话骂运营商要公网IP，或者干脆用内网穿透工具。
假设你有公网IP，下一步是设置端口转发。找到“转发规则”或者“虚拟服务器”选项，里面要填三样东西：外部端口、内部IP、内部端口。比如监控摄像头本地IP是192.168.1.88，它自己监听8080端口，你在外部端口填8080，内部IP填192.168.1.88，内部端口也填8080，协议选TCP或ALL。保存重启后，从外网访问就是http://你的公网IP:8080。但这里有个坑，很多家用路由器默认防火墙还开着，你得在“安全设置”里把对应端口的入站规则放行，不然端口转发了也白搭。
光有端口转发还不够，你的公网IP是动态的，今天是这个明天变那个，总不能天天改地址吧。去花生壳或者DuckDNS注册个免费域名，然后路由器里找“DDNS”功能，填上账号密码，路由器会自动把当前IP更新到域名上。以后外网访问就是http://你的域名:8080，省心多了。有些路由器自带DDNS服务商列表，选个能用的就行，别贪多，能解析成功才是硬道理。
还有个细节容易被忽略——路由器自身的远程管理。你设置好端口转发后，如果还想从外网登录路由器后台改配置，得单独开启“远程Web管理”功能，默认是关闭的。这个功能建议只开HTTP端口，别开HTTPS，因为家用路由器的HTTPS证书基本都是自签名的，浏览器会报警，反而麻烦。而且远程管理端口别用默认的80或8080，改成50000这种高位端口，至少能挡掉一部分扫描脚本的骚扰。
最后说个真实翻车案例。我给自己家NAS配置外网访问时，端口转发、DDNS都弄好了，外网就是连不上。排查了半天，发现是路由器里“ALG”设置里的H.323和SIP协议被默认启用了，这俩协议会劫持某些端口的数据包。把ALG关掉后立马通了。所以碰到死活连不上的情况，别急着怀疑运营商，去路由器的高级设置里翻翻，把那些看不懂的协议选项试着关掉，往往有奇效。
外网访问这东西，本质上就是给自家网络开个小门。门开多大、开哪个方向，全看你自己的需求。设置完了记得用手机流量测一下，别连着Wi-Fi测试——那测的是局域网，不是外网。