我家那台老掉牙的由端NAS，一直窝在客厅角落。口映里面存着几百部电影，射外还有全家人的网访问照片备份。平时在家用着挺爽，由端可一出差，口映想调个文件就抓瞎——公网根本连不进来。射外这就是网访问典型的二级路由困局：光猫拨号占了一级，我自己的由端路由器只能委屈在下面当二级。外网请求到了光猫那一层就迷路了，口映压根不知道往哪儿拐。射外

折腾了三个晚上，网访问总算把端口映射这条路走通了。由端核心就一句话：让二级路由上的口映设备，在一级路由上“挂个号”。射外具体分三步走，哪一步漏了都白搭。

先查光猫的超级管理员密码。别急着打电话问客服，多数地区默认是telecomadmin加一串数字，比如nE7jA%5m，或者admintelecom。登录光猫后台，找到“网络”—“宽带设置”，记下连接名称里带INTERNET的那个拨号账号。关键动作来了：把光猫改成桥接模式。这步有点风险，改完光猫自己就不拨号了，得让二级路由来拨。要是家里IPTV还指望光猫，千万别动这个，否则电视直接黑屏。

桥接搞定后，二级路由的WAN口设置改成PPPoE拨号，输入宽带账号密码。这时候你的二级路由就变成了事实上的“一级”，公网IP直接落在它头上。访问外网IP，能看到路由器管理界面，说明成功了一半。

接着在二级路由里做端口映射。拿我的海康威视摄像头举例：内网IP是192.168.31.100，端口80。在“端口映射”或“虚拟服务器”菜单里，添加规则：外部端口填8000（别用80，很多运营商封），内部IP填192.168.31.100，内部端口填80，协议选TCP。保存后，用手机流量访问http://公网IP:8000，居然真的弹出了摄像头登录框。

但这里有个坑——家用宽带大多是动态公网IP，重启光猫就变。我试过用DDNS（动态域名解析）解决，在二级路由里启用花生壳或者阿里云DDNS，绑定一个域名。之后不管IP怎么变，访问域名就行。实测稳定跑了一周，没掉过链子。

还有种更省事的法子，如果你不想改桥接，就在光猫上做DMZ主机，把二级路由的WAN口IP填进去。这样光猫会把所有外网请求都扔给二级路由，相当于“透传”。缺点是光猫自己没法再挂其他设备，而且有些光猫的DMZ功能形同虚设，我试过两次，一次成功一次失败，看运气。

最后提醒一句：端口映射等于把家里设备暴露在公网上，密码务必改强一点。我见过有人开着默认密码的摄像头，结果被隔壁黑客当成直播看。别问我怎么知道的——那画面，真是一言难尽。