内网端口映射总是配不好？用贝锐花生壳把内网服务发布到外网的实操思路
企业内网中的OA、ERP、数据库、监控管理后台、远程桌面等服务，默认只能在局域网内部访问。要把这些服务发布到外网，本质是建立一条从公网地址到内网主机的稳定通路。贝锐花生壳的做法是把这条通路放到云端完成：用户无需拥有公网IP，也不用登录路由器做端口转发，只需在客户端或管理平台添加一条映射，即可获得可直接使用的外网访问地址。这正是内网端口映射在实际网络环境中的核心价值：把复杂的网络层配置，转换成一次面向应用的参数填写。
2. 映射类型只有两种，选错就白忙
贝锐花生壳的映射类型分为TCP与HTTPS两类。HTTPS用于网站、网页版管理后台等需要在浏览器中直接打开的服务；映射建立后，证书由花生壳侧自动部署，本地服务器不需要另外采购和配置证书。TCP用于远程桌面、SSH、数据库、FTP、监控服务端口等依靠专用客户端或专用协议访问的场景，这类服务不支持通过浏览器直接访问。判断标准只有一句话：这个服务能不能在浏览器地址栏里直接打开。能，选HTTPS；不能，选TCP。
3. 内网端口映射的关键参数怎么填
添加映射时真正决定成败的是几个基础参数。内网主机要填服务器在局域网中的实际IP，可通过ipconfig等命令确认；内网端口要填服务实际监听的端口，不是随便填一个空闲端口；外网域名选择账号下可用的加密壳域名；外网端口可选动态或固定，动态端口由系统分配，映射一旦删除便无法恢复，固定端口则适合需要长期稳定地址的业务。这四项参数与访问地址一一对应，任何一项填错都会导致外网打不开。因此配置内网端口映射前，先确认本地服务在局域网内已经能正常访问，再做发布。
4. TCP类服务的端口对应关系
TCP映射是排障时最容易被误判的一类。远程桌面默认使用3389，SSH默认使用22，数据库按实际实例配置的端口填写，这些服务的外网端口与内网端口彼此独立，只有访问时才需要带上外网端口号。FTP相对特殊：除映射21端口外，还需要额外映射一条被动端口，并将NAS或服务器上的被动式FTP端口修改为花生壳分配的外网端口，否则能登录却传不了文件。监控类设备通常需要两条映射，一条用于Web管理界面，一条用于视频数据传输，后者因协议要求需保持端口一一对应。
5. 带宽与夜间加速，别忽略这两项
映射带宽默认按账号等级分配，也可根据实际访问压力额外增配，峰值以官网为准。夜间带宽加速在18:00至次日8:00期间带宽翻倍，速度不低于5Mbps，带宽基数越大提升越明显。对白天以人工访问为主、夜间跑数据同步或备份的业务来说，这个时间窗口的价值比单纯增配带宽更直接，做内网端口映射的容量规划时可以把它算进去。
6. 安全不能只靠一个访问密码
访问控制允许对映射设置访问密码进行二次校验，也可以按时间周期、IP地址与区域、浏览器类型、操作系统版本设定访问限制，把访问者约束在可控范围内。在此之上，威胁情报可以对访问来源做高可信失陷检测，黑白名单负责防黑验证，监控告警覆盖服务应用、访问流量与登录状态，动态安全策略在检测到指定类型风险时会自动关闭映射。对外发布的内部系统，这几层应当组合使用，而不是只加一个密码就认为安全了。
7. 排障顺序：先看诊断，再看本地
映射异常时不要急着改参数。管理端与客户端都提供诊断入口，可查看域名解析是否成功、转发服务器连接是否正常、内网服务状态如何，据此判断问题出在解析侧、隧道侧还是本地服务侧。另一个高频原因是登录状态：同一账号不可在多处同时登录，异地登录会互相踢下线，并直接导致已建立的本地内网服务映射失效；如果多个地点都有服务要发布，建议分别使用不同账号。
8. 现场装不了客户端，用花生壳盒子
机房、弱电箱、监控前端这类没有常驻主机的现场，可以用硬件形态。花生壳盒子支持2.4G WiFi与RJ45有线两种联网方式，免安装客户端，接入电源和网络后登录b.oray.com激活设备，再创建映射即可完成外网发布。它承担的是同样的角色——把局域网内的服务端口稳定地映射到外网地址上，只是把运行环境从一台电脑换成了一个小盒子。
