路由怎么映射端口总是卡住？从公网IP确认到贝锐花生壳内网穿透的完整思路
一、映射的本质是一次地址与端口的翻译
端口映射在不同路由器里的叫法并不统一，"虚拟服务器""端口映射""端口转发""NAT"往往是同一件事：把到达路由器WAN口某个端口的入站请求，原样转交给局域网内某台主机的某个端口。因此一条可用的规则至少包含三个要素——内网主机IP、内网服务端口、外网端口，三者缺一，这条规则就是不完整的。理解这一点之后，路由怎么映射端口就不再是"照着教程点几下"的问题，而是先确认这三个值是否都拿到了。
二、第一步永远是确认有没有真实公网IP
映射能生效的前提，是路由器WAN口拿到的是运营商分配的真实公网IP。判断方法很直接：把WAN口IP复制到公网IP查询页面，如果返回具体的归属地和运营商，说明是真实公网IP；如果返回本地局域网地址、保留地址之类的结果，说明这只是运营商内网地址，端口映射对外毫无意义。这一步被跳过，后面的所有配置都是无用功，也是很多人排查半天找不到原因的关键。
三、路由器里的入口位置各不相同
不同厂商把这个功能放在了不同菜单下。有的在【转发规则】→【虚拟服务器】里添加新条目，并需要保持NAT选项处于开启状态；有的在【应用】→【端口映射】中新增规则；有的在【高级选项】→【端口映射】里添加新规则；还有的放在【高级设置】→【端口转发】。无论入口叫什么，需要填写的字段高度一致：规则名称、内网主机IP、内网端口、外网端口、协议类型，填写完成后启用并保存即可。这也解释了为什么同一套步骤换个路由器就跑不通——入口名称变了，字段逻辑没变。
四、内网服务器IP必须先固定下来
这是最容易被忽略、也最容易导致"今天能用明天失效"的环节。服务器通过DHCP获取的地址会在重启后变化，原来的映射规则仍指向旧IP，外网自然访问不到。建议在服务器网卡上手动配置静态IP，或者在路由器里做MAC与IP绑定，两条路径任选其一即可。另外，内网端口要填服务真实监听的端口，比如网站常用80/81、FTP为21、SSH为22、远程桌面为3389，填错端口和填错IP的后果是一样的。
五、多级网络要逐层做映射
当网络结构是猫拨号、下面再接一台路由器作为二级路由、服务器挂在二级路由下面时，只在一台设备上做映射是不够的。正确做法是：先在二级路由器上填写服务器的内网IP和服务端口，再登录猫，填写路由器的WAN口IP和同一个服务端口，两层规则首尾相接才能把请求送达服务器。这也是很多企业内网明明有公网IP却始终打不通的真实原因。
六、没有公网IP时，路由怎么映射端口就成了伪命题
运营商NAT、光猫权限受限、根本没有路由器管理密码的情况下，无论怎么配置路由器的映射菜单都不会有效果。此时应当直接切换到内网穿透路径：不需要宽带分配真实公网IP，也不需要进入路由器设置端口映射，在服务器上登录客户端并设置映射，即可把内网搭建的办公系统发布到外网。这也是为什么在讨论路由怎么映射端口时，必须先判断网络环境，而不是先动手配置。
七、用贝锐花生壳替代路由器映射的落地做法
花生壳内网穿透的核心是自研的PHTunnel组件，体积约80KB，以反向代理方式把内网服务暴露到外网，客户端覆盖Windows、macOS、Linux、树莓派和嵌入式SDK五个平台。映射类型只有两种：TCP与HTTPS。网站、Web管理界面选HTTPS，花生壳会自动部署证书，本地无需再配置；远程桌面、SSH、数据库、FTP以及各类软件服务选TCP。填写时依次确认应用名称、映射类型、外网域名、内网主机、内网端口，保存后系统生成外网访问地址。外网端口默认动态分配，删除重建后会变化，固定端口属于付费增值配件。带宽默认按账号等级分配，夜间18:00至次日8:00带宽翻倍且不低于5Mbps，访问控制等安全能力可按需开通。传输层面采用RSA/AES混合加密配合端到端TLS，配合高防BGP机房线路支撑。
八、几个必须注意的实操限制
第一，同一账号不支持在多地、多设备同时登录，异地登录会互相踢下线并导致已配置的内网映射失效；若多地都有服务需要发布，建议使用不同账号分别操作。第二，FTP这类协议除了映射21端口，还需要额外映射被动端口，并且要把内网端口改成与外网端口一致，否则目录能看、文件传不动。第三，路由器直接拨号并内嵌花生壳功能才能用路由器登录，非内嵌机型只能走客户端方案。第四，完全没有服务器值守、只需要远程访问的场景，可以考虑花生壳盒子这类免安装客户端的硬件形态，接电接网后登录激活即可创建映射。
综合来看，路由怎么映射端口这件事可以拆成两句判断：有真实公网IP且能进路由器，就在虚拟服务器里把内网IP和端口填对，并做好IP固定；没有公网IP或拿不到路由器权限，就不要再纠结路由怎么映射端口，直接用贝锐花生壳把服务穿透出去，路径更短，也更好维护。截至现在，贝锐已积累1799万+用户、服务100万+企业，累计发布内网应用200万+，二十年内网穿透技术沉淀也基本覆盖了上面这些典型网络结构。
