家里NAS上挂了个博客，端口到外想在外网访问。映射折腾一晚上，端口到外最后发现运营商把80端口封了。映射换8443，端口到外通了。映射这就是端口到外端口映射的第一课：先确认你的运营商和光猫给不给你机会。

端口映射的映射本质，就是端口到外告诉路由器：“外网来的这个端口，往内网这台机器的映射这个端口送。” 听起来简单，端口到外但卡住你的映射往往是三个地方：光猫、路由器、端口到外还有运营商。映射

先从光猫说起。端口到外现在宽带基本都带光猫，而且默认路由模式。你如果自己又接了个路由器，那就是双重NAT。外网请求先进光猫，光猫不知道往哪转，直接丢弃。解决办法两个：要么把光猫改成桥接模式，让路由器直接拨号；要么在光猫上也做一次端口映射，指向你的路由器。前者干净，后者省事，但光猫的UPnP和端口映射界面经常被隐藏，得用超级管理员账号登录——网上搜你光猫型号的超级密码，一般能搞定。

路由器上的操作反而直白。登录后台，找“端口映射”或“虚拟服务器”。填三个东西：外部端口、内部IP、内部端口。举个例子，我在路由器上把外部端口8443映射到192.168.1.100的443端口，这样外网访问你的公网IP:8443，就能连上家里那台服务器的HTTPS服务。内部IP最好设成静态，不然设备重启后IP变了，映射就失效。我吃过这亏，后来干脆在DHCP里给那台NAS绑定了固定地址。

但公网IP这关，拦住了很多人。现在不少地区默认不给公网IPv4，给你的是运营商的CGNAT大内网地址——你路由器WAN口拿到的IP是100.64.x.x这种，那基本凉了。打电话给客服，说家里要装监控，需要公网IP，大多数情况能要回来。要不到？那就得靠内网穿透工具了，比如frp、ngrok，原理是你主动连一台有公网IP的服务器，让那台服务器帮你转发流量。这算曲线救国，但延迟和稳定性依赖那台中转服务器的质量。

还有个细节容易忽略：防火墙。路由器自带的防火墙可能默认拦截外部进来的连接，即使端口映射配好了也连不上。别急着怀疑映射配错，先看路由器日志里有没有丢弃记录。我上次调一个映射，折腾半小时，最后发现是路由器防火墙的“DoS保护”把外部扫描当攻击拦了。关掉针对该端口的防护，秒通。

最后说句大实话：如果你只是偶尔远程访问一下，别费劲搞端口映射。直接上Tailscale或者ZeroTier，装个客户端，跟在内网一样用，还不用暴露端口给全网扫描。端口映射适合那些需要让完全陌生的人访问的场景，比如搭个网站给别人用。但暴露端口就意味着你的服务要经得起公网的风吹雨打——我亲眼见过一个映射了22端口的树莓派，被黑客脚本连续爆破三天，日志刷了几万条。如果你非要映射SSH，记得改端口、禁用密码登录、上密钥认证。否则，你的设备就是别人练手的靶子。