内网IP映射怎么设置才能外网访问？贝锐花生壳的配置思路与避坑要点

一、内网IP映射解决的是什么问题

内网穿透的本质，是让外网设备能够找到并访问处于局域网内部的设备。NAT 之后的设备具有一个共同特点：可以主动访问外网，但外网无法主动访问它，因此需要在中间通过一台外网服务器建立打通内外网的通道。所谓内网IP映射，就是把“内网主机 IP + 服务端口”与“外网域名 + 外网端口”建立一条固定的对应关系，外部访问请求先到达转发服务器，再由转发服务器回送到内网服务。

先判断自己是否属于必须使用内网IP映射的场景：如果宽带拨号得到的地址以 10.x.x.x、172.x.x.x、100.x.x.x、192.x.x.x 开头，说明处于运营商的大内网之中，与其它用户共用出口，外网计算机无法直接访问。这类环境下没有端口映射权限、也无法登录上级路由，正是内网穿透要解决的情形。

二、动手之前，先把内网主机地址固定下来

映射配置中最容易出错的不是平台操作，而是内网参数。内网主机填写服务器实际的局域网 IP，可通过命令行执行 ipconfig 查看；内网端口填写服务真实监听的端口号，比如远程桌面 3389、SSH 22、数据库 3306。端口号一般在应用自身的配置文件或系统参数中查看，不确认时可直接咨询软件提供方。

强烈建议把服务器的内网 IP 设置为静态地址，或者通过路由器的 MAC 与 IP 绑定功能固定下来，否则设备重启后重新获取地址，映射关系就会指向一个不存在的主机，外网访问随即失效。这一步做好了，后续内网IP映射的稳定性基本就有了保障。

三、协议只有两种：TCP 与 HTTPS，别选错

花生壳内网穿透提供的映射协议是 TCP 与 HTTPS 两类，选择逻辑非常清晰：网站、Web 管理界面选 HTTPS；远程桌面、SSH、数据库、FTP、软件类、监控摄像头选 TCP。

HTTPS 映射用于创建加密安全的网站，外网可通过浏览器直接访问，花生壳已在服务端自动部署证书，本地无需再部署 SSL，因此不必额外购买和配置证书。TCP 映射面向准确性要求高的数据传输，如文件传输、远程访问，但不支持在浏览器中直接打开站点。需要特别注意，FTP 这类协议除映射 21 端口外，还必须追加一条被动端口映射，并把内网端口改成与外网端口一致，文件传输才能正常完成。

四、内网IP映射的添加与验证

在客户端或管理平台进入【内网穿透】界面，新增映射，按提示填写应用名称、映射类型、外网域名、内网主机与内网端口，确认无误后保存，系统会生成一条外网访问地址。HTTPS 映射生成的是 https 开头的域名地址，TCP 映射生成的是“域名 + 随机五位端口”的地址，形式不同，但使用方式一致。

配置完成后不要急着交付给同事，先在映射卡片上点击“诊断”，确认域名解析、转发服务器连接与内网服务三项状态是否正常；出现异常时把诊断信息截图留存，便于快速定位问题。验证时用外网网络（例如手机热点）实测一次，比在内网自测更有意义。

五、带宽、夜间加速与访问控制

默认带宽按账号等级分配，场景映射的默认带宽为 10Mbps，可根据实际需求付费增配，带宽基数越大体验越明显。夜间带宽加速在 18:00 至次日 8:00 生效，期间带宽速度提升 100%，且速度不低于 5Mbps。对于白天采集、夜间同步这类业务，把大流量任务放到加速时段是性价比很高的做法。

安全方面，可为映射开启访问控制：设置访问密码做二次校验，或指定时间、区域、IP 地址、浏览器、操作系统等条件限制访问。针对网页类映射还可启用网页访问验证，访问者校验密码通过后才能打开站点。面向内部业务系统的内网IP映射，建议至少叠加一层访问限制，避免地址被外部探测后直接暴露。

六、映射通了但打不开？按这个顺序排查

诊断提示“连接成功”而外网访问失败，是最高频的问题。依次检查：局域网内访问服务器是否正常；账号是否存在多处登录；映射类型是否选错，例如把 Web 服务误设为 TCP；若怀疑解析延迟，可尝试重新登录客户端，并把本机网卡 DNS 设置为 223.5.5.5 或 119.29.29.29。

另外两个细节常被忽略：内网映射基于域名访问，转发 IP 会随线路优选切换，不建议直接拿转发 IP 去访问；同一账号异地登录会导致已设置的本地映射失效，多个地点需要发布服务时，应分别使用不同账号操作。客户端已覆盖 Windows、macOS、Linux、树莓派与嵌入式 SDK 等平台，树莓派等设备上保持客户端在线，映射才会持续可用。