家庭nas 外网访问总是打不开？贝锐花生壳把内网服务稳稳搬到公网
1. 家庭nas 外网访问的第一道坎，其实是NAT
很多人在家里把NAS装好、在内网用IP加端口访问一切正常，一出小区门就打不开了。问题不在NAS，而在于绝大多数家庭宽带处于NAT之后：内网设备可以主动访问外网，但外网设备无法主动连进来。内网穿透的思路就是让内网设备先主动连接一台指定的外网服务器，由这台服务器搭建桥梁打通访问通道，从而实现外网设备访问内网设备。这种方式还有一个附带好处——由于内网设备并不与外网直接相连，且防火墙通常只拦截入站不拦截出站，安全性相对可控。
如果宽带确实分配到了真实有效的公网IP，可以在路由器上做端口映射，把内网服务器的地址和服务端口暴露出去；但如果拿到的是运营商分配的私网地址，这条路就走不通。花生壳提供两类能力：一类是DDNS动态域名解析，把ISP分配的动态公网IP与贝锐管理的花生壳域名绑定，让外网通过一个固定域名访问内网服务；另一类是内网穿透，无需公网IP、无需进路由器设置端口映射，直接在客户端添加映射把内网服务发布到外网。判断标准很简单：路由器WAN口拿到的是不是公网地址，决定了你该用哪一种。
3. 协议只有两条路：TCP与HTTPS，别选错
映射类型的选择直接决定能不能访问。网站、Web管理后台、带登录页面的管理界面选HTTPS；远程桌面、SSH、数据库、FTP、监控摄像头、各类软件服务选TCP。HTTPS映射的本质是把内网HTTP服务映射为外网HTTPS，花生壳会自动部署证书，本地无需自行申请和配置CA证书，这对没有运维经验的家庭用户非常友好。需要提醒的是，FTP本身不能靠HTTPS映射承载，应使用TCP映射并同时放通21端口与被动端口；Windows家庭版系统未完整搭载远程桌面服务，3389场景需要专业版及以上系统。
4. 映射之前，先在局域网里把服务跑通
所有失败案例里，相当一部分问题根本不在穿透环节。正确顺序是：NAS接线开机，用同一局域网内的电脑打开浏览器，输入NAS的内网IP加端口，确认本地访问完全正常，再去做外网发布。比如群晖设备在内网以192.168.30.20、5000端口访问成功，这条链路确认无误后，映射才有意义。如果内网本身就打不开，无论怎么调映射参数都不会有结果。
5. 家庭nas 外网访问的参数怎么填
添加映射时几个关键项要对应清楚：内网主机填NAS在局域网中的IP地址，内网端口填服务实际监听的端口，外网域名从账号下的加密壳域名中选择，应用名称自定义即可。以群晖NAS的文件共享为例，在NAS中配置好共享文件夹、确认FTP服务可用后，把NAS的局域网IP与FTP服务端口通过花生壳映射到外网，生成外网访问地址，外部设备用这个地址就能访问NAS上的文件服务。部分NAS品牌在应用中心内已集成花生壳，登录后开启外网访问开关即可自动生成外网地址，省去手动填写参数的过程。带宽方面，场景映射默认10Mbps，可按需增配，18:00至次日8:00还会开启夜间带宽加速，带宽翻倍且速度不低于5Mbps。
6. 把地址"藏起来"不等于安全
不少人以为域名随机、端口动态就安全了，其实只是降低了被扫到的概率。更稳妥的做法是叠加访问控制：可设置访问密码做二次校验，也可按时间周期、IP地址或区域、浏览器、操作系统等维度限制应用访问。威胁情报能力基于百万级高可信失陷检测情报，准确率可达99.99%，配合黑白名单防黑验证与动态安全策略，在检测到指定病毒类型时可自动关闭映射。此外还可对服务应用状态、访问流量、登录状态设置监控告警，异常时第一时间收到通知。
7. 家庭nas 外网访问的部署形态怎么挑
如果NAS或常开的服务器本身能装客户端，直接在设备上安装登录是最省事的方式。花生壳客户端覆盖Windows、macOS、Linux、树莓派与嵌入式SDK共5个平台，树莓派这类低功耗设备长期挂着做穿透非常合适。如果不想在NAS上装任何东西，可以用花生壳盒子：支持2.4G WiFi与RJ45有线两种联网方式，接入电源和网络后登录b.oray.com激活设备、创建映射即可，支持TCP与HTTPS端口映射，不占用NAS本身的算力。工业现场的PLC、工控机、串口设备则应选工业级的花生壳盒子X，具备4G蜂窝备用与RS232/485转TCP能力，不能用消费级软件方案硬套。
8. 稳定性来自线路与架构，不是玄学
远程访问体验好坏，很大程度上取决于中转节点的线路质量。花生壳采用BGP机房线路与机房集群，支持冗余备份，能够保障不同宽带运营商下的连接速度。另外有一条容易被忽略的规则：同一账号不可多地登录，异地登录会互踢并导致已设置的映射失效；如果有多个地点的服务需要发布，建议用多个账号分别做映射操作。这一点在"公司一台、家里一台"的场景里尤其要注意。
