外网访问内网为什么总是不通？贝锐花生壳的内网穿透思路值得了解
一、先定位问题：外网访问内网通常卡在哪一步
内网是在公司或家庭内部建立的局域网，外网则通过网关与其他网络系统相连。在没有固定公网 IP 的情况下，外网设备无法直接访问内网设备，这是由地址资源分配和网络边界共同决定的，通常并不是某一台机器“配错了”。
实际排查时，可以先看几个特征：网络中是否没有真实可用的动态公网 IP、网络结构是否过于复杂导致部署困难、是否拿不到路由器或防火墙的端口映射权限。只要命中其中一条，单纯改 DNS、换端口或者重启设备都解决不了外网访问内网的问题。
二、内网穿透的机制：先让连接“出去”，再由服务器搭桥
NAT 后设备的特点是能访问外网、但不能被外网设备有效访问。因此内网穿透的思路是让内网设备主动去访问一台指定的外网服务器，由这台服务器充当桥梁，打通内外网的访问通道。这种方式还有一个附带好处：防火墙一般只拦截入站、不拦截出站，所以防火墙内的设备同样可以借此对外提供服务。
贝锐花生壳的核心组件是自研的 PHTunnel，体积约 80KB，承担高性能反向代理的职责，由服务端与客户端配合完成通道建立与数据转发。理解这一层就能明白：为什么整个过程不需要在路由器上开放端口，也不需要向运营商申请固定 IP。
三、映射协议只有两种选择：TCP 与 HTTPS
映射类型选错是配置失败的高频原因。贝锐花生壳的内网穿透映射仅支持 TCP 与 HTTPS 两种协议：HTTPS 用于网站与 Web 管理界面，把内网 HTTP 服务转换为外网 HTTPS 访问，证书由服务端自动部署，本地无需另行配置；TCP 用于远程桌面、SSH、数据库、FTP、软件类应用与监控摄像头等场景。
有几个细节需要留意：FTP 要用 TCP 映射并放通 21 端口与被动端口，不能用 HTTPS 映射承载；Windows 家庭版未完整搭载远程桌面服务，3389 映射需要专业版及以上系统；HTTPS 映射的外网端口以实际分配为准。
四、一条映射要填哪些参数
常规情况下，一条映射需要确认六项信息：应用名称（自定义的服务标识）、映射类型（按服务性质选择）、外网域名（选择账号下的加密壳域名，后缀为 hsk.top、zicp.fun、yicp.fun）、外网端口（动态端口由系统随机分配，删除重建会变化；固定端口属于付费增值配件）、内网主机（服务器所在的局域网 IP）、内网端口（服务实际监听的端口）。带宽默认按账号等级分配，也可按需增配。
信息确认无误后保存，系统会生成一条外网访问地址，到这一步外网访问内网的链路就算建立完成，在外部网络输入该地址即可验证连通性。
五、带宽与安全：决定这套链路能不能长期用
带宽方面，场景映射与文件分享默认 10Mbps；夜间 18:00 至次日 8:00 所有映射带宽翻倍，且速度不低于 5Mbps，带宽基数越大夜间越快。如果业务有明显的高峰时段，这个特性比单纯加带宽更划算。
安全方面，建议对映射开启访问控制：设置访问口令做二次校验，或者限定访问的时间/周期、IP 地址/区域、浏览器与系统版本，只放行指定范围。对于 Open WebUI、Jupyter 这类 Web 应用，优先走 HTTPS 映射实现加密传输，是成本最低的一条加固措施。
典型场景与平台覆盖
远程办公是外网访问内网最常见的诉求，此外还包括网站搭建、安防监控、远程数据采集、开发调试、海外访问与 AI 网关等。OA、ERP、CRM 这类内部办公系统，只要知道服务实际监听的端口，都可以按 TCP 映射发布到外网。
客户端覆盖 Windows、macOS、Linux、树莓派与嵌入式 SDK 共 5 个平台；如果现场不方便装软件，也可以选择花生壳盒子或工业级的花生壳盒子 X 这类硬件形态。同一账号不支持多地同时登录，异地登录会互踢并导致已建映射失效，这一点在多地点发布服务时要提前规划。
