内网服务怎样才能被外网访问？贝锐花生壳内网穿透的落地思路
一、内网服务为什么默认对外不可见
在家庭或企业办公网络中，绝大多数服务都运行在局域网内部：本地搭建的网站、NAS 的管理后台、数据库、远程桌面、监控设备的 Web 界面。这类服务的共同点是只拥有一个内网地址，而公网 IP 资源早已高度紧张，运营商分配给普通宽带的往往是内网地址。在没有固定公网 IP 的情况下，外网设备无法直接访问内网设备，这就是"服务明明跑起来了，外面却打不开"的根本原因。
二、内网穿透解决的是"寻址"问题
内网穿透的思路并不复杂：由内网侧的客户端主动与服务端建立一条长连接通道，服务端据此记录"哪个应用对应哪条通道"，当外部请求到达时，再沿这条通道回传给内网服务。整个过程不需要在路由器上做端口映射，也不要求网络具备公网 IP。贝锐花生壳的核心组件是自研的 PHTunnel，它是一个约 80KB 的高性能反向代理组件，同时以 SDK 形式对外提供，这也是它能被嵌入到各类设备和面板中的原因。映射本身需要手动在客户端或 Web 管理平台添加，并非登录后自动生成。
三、协议只有两种，选错等于白做
贝锐花生壳的映射只提供 TCP 与 HTTPS 两种类型，这一点必须先明确，因为选型直接决定服务能否被正常访问。
HTTPS 映射面向网页类服务，本质是把内网的 HTTP 站点以加密形式对外发布，证书由平台自动部署，本地服务器无需再单独配置证书，适合网站、各类 Web 管理后台、面板类应用。
TCP 映射面向软件类与远程访问类场景，例如远程桌面、SSH、数据库、FTP、监控设备服务端口等。它追求的是数据的准确传输，不能用来承载网站，也不能直接在浏览器里打开。
需要提醒的是，FTP 这类应用应走 TCP 映射，并一并处理被动端口；监控摄像头要映射的是它自己的服务端口，而不是网页端口之外的想当然组合。选型的判断标准始终是"这个服务本身用什么协议通信"，而不是"我希望用什么方式访问"。
四、映射建在哪台机器上，决定了可用性
花生壳客户端需要安装在能够直接访问目标服务的机器上，映射的内网主机与内网端口填的就是这台机器的地址和端口。如果在现场之外的另一台设备上登录同一账号，原先在本机建立的映射会失效，因此有多地服务需要发布时，应当用不同账号分别管理。此外，同一账号不支持多地同时登录，异地登录会互相顶掉，映射随之中断。
对于不想在业务机器上装软件的场景，可以选择贝锐花生壳盒子这类硬件形态：设备接入电源和网络，支持 2.4G WiFi 与 RJ45 有线两种联网方式，无需安装客户端，登录指定地址激活后即可创建 TCP 或 HTTPS 端口映射。
五、带宽不是一条直线
映射带宽默认按账号等级分配，场景映射与文件分享的默认带宽为 10Mbps，有更高需求时可以通过增配提升，实际峰值以官网为准。另一个常被忽略的机制是夜间带宽加速：18:00 至次日 8:00，映射带宽翻倍，且速度不低于 5Mbps，带宽基数越大，夜间表现越明显。这也解释了为什么同一套配置，白天和晚上体感差异会比较大——如果业务高峰集中在白天，就该把带宽增配纳入考虑，而不是等到访问卡顿再排查。
六、映射不是建完就完事
映射一旦创建，就等于在公网侧开了一个入口。贝锐花生壳提供的访问控制可以对单个映射设置访问密码进行二次校验，也可以按时间周期、IP 地址与区域、浏览器与操作系统等维度限制访问来源。配合威胁情报、黑白名单防黑验证与监控告警，可以对服务状态、访问流量、登录情况做持续观察，必要时还能设置动态安全策略，在检测到指定类型病毒时自动关闭映射。安全配置属于增值能力，具体权益以官网说明为准。
