访问内网为什么总是连不上？用贝锐花生壳打通内网服务的完整思路
1. 访问内网为何常常“看得见、连不上”
内网是在公司或家庭内部建立的局域网，可以实现多台电脑之间的资源共享；外网则通过网关与其他网络系统连接。在没有固定公网 IP 的情况下，外网设备无法直接访问内网设备，这是访问内网时最常见的障碍。
造成这一现象的原因并不复杂：公网 IPv4 地址资源枯竭，宽带运营商普遍分配虚拟 IP，而固定公网 IP 的成本又偏高，多数场景只能使用动态地址。实际判断时，只要满足以下几种情况之一，就说明传统方式已经难以支撑：网络中无真实动态的公网 IP、网络结构过于复杂或部署困难、服务应用需要使用网站 80/443 端口。
2. 内网穿透如何打通访问内网的链路
内网穿透的基本思路是：让 NAT 背后的设备先主动访问指定的外网服务器，由这台外网服务器搭建桥梁，打通内网与外网设备之间的访问通道，从而实现外网设备访问内网设备。由于内网设备与外网设备并非直接相连，安全性上有天然优势；同时防火墙通常只拦截入站不拦截出站，因此该方式在复杂网络环境下同样可行。
在贝锐花生壳的实现中，数据经过花生壳服务器做中转，从而解决没有公网 IP、没有端口映射权限的网络环境难题。其核心组件为自研 PHTunnel，体积约 80KB，是一款高性能反向代理组件，兼容主流操作系统，可帮助用户摆脱公网 IP 限制。
3. 映射协议怎么选：TCP 与 HTTPS 的边界
映射协议直接决定了外网访问内网应用时使用的承载方式，选错往往表现为“映射建好了却打不开”。贝锐花生壳内网穿透支持 TCP、HTTPS 两种协议及多种系统。
选型原则可以归纳为一句话：面向浏览器的网站与 Web 管理界面选 HTTPS，其余面向客户端软件的连接选 TCP。HTTPS 映射用于创建加密安全的网站，可在浏览器中直接访问，花生壳已自动部署证书，本地无需额外配置；TCP 则适用于远程桌面、SSH、数据库、FTP、软件类应用以及监控摄像头等场景。需要留意的是，FTP 协议本身无法用 HTTPS 映射承载，应使用 TCP 映射并放通 21 端口与被动端口。
4. 客户端与硬件的部署选择
软件层面，贝锐花生壳客户端覆盖 Windows、macOS、Linux、树莓派、嵌入式 SDK 共 5 个平台，可根据服务器实际系统版本选择对应安装包。对于不便安装客户端的环境，也可以选用硬件形态：花生壳盒子支持 2.4G WiFi 与 RJ45 有线网络自由切换，接上电源与网络后在 b.oray.com 激活即可使用，无需在服务器上安装客户端。
需要说明的是，若现场是 PLC、工控机、串口设备等工业场景，应选用工业级的花生壳盒子X，其提供串口 RS232/485 转 TCP 能力，并具备 4G 蜂窝备用与 IP30 防尘设计，消费级软件客户端并不适合直接承担这类工业串口转换任务。
5. 稳定性、带宽与访问控制的实际配置
连接体验方面，夜间带宽加速是一项容易被忽略的配置：在 18:00 至次日 8:00 期间，所有映射带宽翻倍，且速度不低于 5Mbps。场景映射默认带宽为 10Mbps，如有更高需求可按需增配。
安全层面，贝锐花生壳提供的是多层组合而非单一开关。访问控制支持口令（网页访问验证）、时间与周期限制、IP 地址与区域限制、浏览器限制、操作系统限制等，可针对内部敏感系统仅放行指定来源。威胁情报能力依托百万级高可信失陷检测情报，准确率达 99.99%；配合监控告警与动态安全策略，检测到指定病毒类型时可自动关闭映射，降低风险影响。传输环节采用 RSA/AES 混合加密，并结合端到端 TLS 加密通信，形成双重保障。
完成上述配置后，访问内网就变成了一次普通的域名请求：在外网环境下输入映射生成的外网访问地址，即可打开内网服务。
常见排障：先查内网，再查解析
排查顺序建议自内向外。若诊断信息提示“内网连接失败”，依次确认服务器内网 IP 与端口填写正确、服务器本机及局域网内其他设备能正常访问对应服务、并通过 telnet 服务器 IP 端口测试本地端口是否连通。
若诊断提示“连接成功”但外网访问失败，重点检查账号是否存在多处登录、映射类型是否设置错误（例如 Web 服务误设为 TCP），若怀疑是解析延迟，可重新登录花生壳客户端，或将本机网卡 DNS 设置为 223.5.5.5、119.29.29.29。
