路由器背面贴着一张标签，开放上面写着“192.168.1.1”，端口旁边还有默认的部访管理员账号和密码。这是问权绝大多数家庭网络的第一道门。你想让外面的开放朋友访问你电脑上跑的那个小网站，或者远程连回自家的端口NAS，第一步就是部访进这扇门。

浏览器里敲入那个IP，问权登录进去。开放不同品牌的端口界面长得不一样，但要找的部访东西名字差不多：端口转发、虚拟服务器、问权NAT映射，开放或者干脆叫“端口映射”。端口TP-Link管它叫“虚拟服务器”，部访华硕放在“外部网络”下面的“端口转发”，小米路由藏得更深一些，在“高级设置”里。找到它，你就成功了一半。

假设你内网那台机器的IP是192.168.1.100，你想对外开放8080端口，让外部通过你家宽带的公网IP加8080就能访问到它。在端口转发页面里，填上外部端口8080，内部端口8080，内部IP地址192.168.1.100，协议选TCP，或者TCP+UDP都选上。保存，生效。就这么几行字的事。

但事情往往没这么顺。很多人填完发现外网还是连不上。先查公网IP。百度搜“IP”，出来的那个地址如果是100.64开头的，或者10、172、192开头的，说明你根本没有公网IP。运营商在城域网层面又做了一层NAT，你路由器上拿到的只是个大内网地址。这时候端口转发配得再对也没用，得打电话给运营商要公网IP。电信一般打个电话就能给，联通看地区，移动最难，很多时候直接告诉你没有。

有了公网IP，还得看防火墙。Windows自带的防火墙默认拦掉一切入站连接。你端口转发了，路由器把请求送到电脑上了，Windows防火墙一看，这连接不是本机发起的，直接丢弃。去“高级安全Windows Defender防火墙”里建一条入站规则，放行对应端口。Linux上则是iptables或者ufw的事，sudo ufw allow 8080/tcp一行搞定。

还有个坑：光猫。现在很多家庭是光猫拨号，路由器接在光猫下面。你在路由器上做端口转发，外网请求先到光猫，光猫不知道要转给谁，直接扔了。要么把光猫改成桥接模式，让路由器拨号；要么在光猫上再做一次端口转发，指向你的路由器WAN口IP。后者叫双层NAT，能用但麻烦，能改桥接就改桥接。

安全这事得提一句。端口开放出去，等于在墙上凿了个洞。别用默认端口，别开3389远程桌面到公网，别用弱密码。我见过有人把群晖的5000端口直接映射出去，管理员密码是admin123，三天后硬盘被加密，屏幕上只剩一封勒索信。要远程访问，SSH隧道或者VPN是更稳妥的选择，端口转发适合临时用或者你清楚自己在干什么。

测试的时候别在自己内网里用公网IP访问，很多路由器不支持NAT回流，内网访问公网IP会失败，但外网其实是通的。用手机切到4G/5G流量，关掉WiFi，再访问你的公网IP加端口。能打开，就成了。

最后说个细节：动态公网IP会变。重启光猫、运营商重新分配，IP就换了。DDNS服务能解决这个问题，花生壳、No-IP、Cloudflare都行。路由器里一般自带DDNS客户端，填上账号，它每隔几分钟就把你当前的公网IP上报一次，域名始终指向你家。这样你就不用每次IP变了都去查一遍。

端口转发本身不复杂，复杂的是网络环境。光猫、路由器、运营商NAT、系统防火墙，四层里任何一层没打通，外面的请求都进不来。一层一层查，从外到内，用手机流量做测试，基本能定位到问题出在哪。