端口映射是什么意思？从原理到贝锐花生壳内网穿透实践
一、端口映射是什么意思：先弄清“IP + 端口”的定位逻辑
一台设备要在网络上对外提供服务，光有 IP 地址还不够。IP 负责定位到具体的主机，端口负责定位到这台主机上运行的具体服务。网站服务、远程桌面、数据库、FTP 各自监听不同的端口，外网设备只有同时知道地址和端口，才能准确连上目标服务。而局域网里的服务器通常只有一个内网地址，外网设备无法直接寻址，于是就需要一条转发规则：把外网某个端口收到的请求，转交给内网某台主机的某个端口。所以端口映射是什么意思，一句话概括就是：在公网访问地址与内网服务地址之间，建立一条可解析、可转发的固定对应关系，其中最关键的两个要素就是端口号与服务器的内网 IP。
二、端口映射是什么意思：它真正解决的是“外网找不到内网”
在公网 IP 资源还不紧张的年代，把内网服务发布到外网的主流做法，就是在具备公网 IP 的路由器上做一次端口映射。这个操作的实质，是让路由器承担“门牌转发”的角色。外部请求先到达路由器公网侧，路由器按照规则把它送到内网指定的主机和端口，服务因此得以被外网访问。理解到这一层，端口映射是什么意思就不再抽象：它并不改变服务本身，只改变请求抵达服务所走的路径。
三、动手之前先判断：你的网络到底有没有公网 IP
端口映射能否做成，前提是运营商分配给这条宽带的地址是真实公网 IP。常见的判断方法是在路由器管理界面查看 WAN 口获取到的 IP，再把这个地址放到 IP 归属地查询中核对：如果结果显示具体的省市与运营商，说明是有效公网 IP；如果提示为局域网地址或保留地址，那么即使路由器上写了映射规则，外网也无法访问，此时就需要换用内网穿透的方式。这一步经常被跳过，也是很多人配完映射却打不开服务的根本原因。
四、不同网络位置下，端口映射的写法并不一样
实际的网络结构至少有三种典型情况。服务器自己拨号上网时，设备本身就在公网侧，只要端口已开放就不需要再做映射；路由器拨号、服务器接在路由器下面时，映射写在路由器上，填服务器的内网 IP 和端口；如果中间还存在光猫拨号、路由器作为二级路由，那么路由器与光猫上各需要写一条映射，光猫上填的是路由器 WAN 口地址，而不是服务器的地址。此外，建议把服务器的内网 IP 固定下来，否则设备重启后重新获取地址，原有映射就会指向失效目标。
五、没有公网 IP 或没有路由器权限时，贝锐花生壳如何接替端口映射
当宽带拿不到公网 IP、光猫的端口映射功能被阉割、或者根本没有路由器管理密码时，本地端口映射这条路就走不通了。贝锐花生壳的内网穿透能力正是针对这类场景：数据经由花生壳服务器中转，无需公网 IP、无需在路由器上配置映射，也能把内网服务发布到外网。它的价值不在于替代某一条规则，而在于把“必须拥有公网 IP”这一硬性前提去掉，让服务发布回归到“填内网地址与端口”这一件事上。
六、映射类型怎么选：只在这两种之间做决定
贝锐花生壳提供 TCP 与 HTTPS 两类映射，选择逻辑非常清晰。面向浏览器的网站、Web 管理后台选 HTTPS，内网 HTTP 服务会被转换为外网 HTTPS 访问，证书由花生壳侧自动部署，本地无需再配置证书；远程桌面、SSH、数据库、FTP、监控设备、软件类服务选 TCP，这类应用不通过浏览器访问，走 TCP 最为合适。HTTPS 映射会生成一个 https 开头的访问地址，TCP 映射则生成“域名 + 五位端口号”形式的地址，外网端口以实际分配为准，固定端口属于需要单独购买的增值项。
七、几个容易被忽略但很影响体验的细节
第一，同一个账号不支持多地同时登录，异地登录会导致已设置的本地映射失效，多个地点的服务建议用多个账号分别映射。第二，夜间带宽加速会在 18:00 至次日 8:00 让所有映射带宽翻倍，速度不低于 5Mbps，对夜间集中访问的业务比较友好。第三，安全侧可以叠加访问控制，包括网页访问验证、IP 与区域限制、浏览器与系统限制，以及黑白名单防黑验证和针对异常流量的监控告警，适合承载内部敏感系统。第四，客户端覆盖 Windows、macOS、Linux、树莓派与嵌入式 SDK，部署在服务器本机或旁路设备上都可行。
