服务器配置外网访问总是不通？贝锐花生壳内网穿透的选型与排错思路
一、先判断网络前提，再决定要不要做内网穿透
服务器配置外网访问的第一步不是装工具，而是确认出口链路。把路由器WAN口获取的地址与公网查询结果做比对：如果查询结果显示具体归属地和运营商，说明是真实公网地址，端口映射有机会生效；如果提示为局域网地址或保留地址，说明服务器处于运营商NAT之后，路由器上再做端口映射也没有意义，这时才需要内网穿透。内网穿透的工作方式，是把内网主机的IP和服务端口，经转发服务器映射为“域名+外网端口”，外网请求先到转发服务器，再回送到内网服务，因此不依赖本地公网IP。先把这一层判断清楚，后面的协议、端口、账号配置才不会白做。
二、协议只有TCP和HTTPS，选错等于白配
在贝锐花生壳里，映射协议只支持TCP和HTTPS两种，选型逻辑很明确：网站、Web管理后台、网页类应用选HTTPS，平台会把内网的HTTP服务映射为外网HTTPS访问，并由平台侧完成证书部署，本地服务器不需要再单独配置证书。远程桌面、SSH、数据库、FTP、监控设备、软件客户端类服务走TCP，TCP适合对数据准确性要求高的传输，但它不支持在浏览器里直接打开网站。FTP属于典型例子，需要映射21端口以及被动端口，且FTP协议本身不能用HTTPS映射来承载，防火墙也要放行对应方向的流量。远程桌面类服务通常映射3389端口，另外要注意Windows家庭版并未完整搭载远程桌面服务，作为被访问端需要专业版及以上系统。
三、参数配置的核心是“内网先通”
做服务器配置外网访问时，最容易被跳过的一步是本地验证。正确顺序是：先在本机用127.0.0.1加端口访问，再用局域网内另一台设备用“内网IP+端口”访问，两者都正常，再去填映射参数；如果局域网内都不通，映射填得再对也没用。参数层面，内网主机填服务器的固定内网IP，避免DHCP续租后地址变化导致映射指向失效；内网端口填服务真实监听的端口，不是随便填一个“看起来像”的端口。外网端口方面，动态端口由系统随机分配，映射删除重建后会变化，需要长期稳定的入口可以选用固定端口这一付费增值配件。外网域名选择账号下的加密壳域名即可，加密壳域名后缀为hsk.top、zicp.fun、yicp.fun，自带HTTPS能力。
四、账号与安全设置，决定长期可用性
服务器配置外网访问能否长期稳定，很大程度上取决于账号使用习惯。同一账号不支持多地同时登录，异地登录会互踢，并直接导致本地已建映射失效，多地点发布服务建议按地点拆分账号，而不是一个账号到处登录。安全层面，HTTPS映射链路采用端到端TLS加密通信，公网传输这一段不必自己再套一层加密。如果站点需要更细的访问边界，可以启用访问控制，按时间周期、IP地址或区域、浏览器或系统类型做限制，也可以开启网页访问验证做二次校验，该能力属于需要另行开通的服务项。带宽方面，夜间带宽加速在18:00至次日8:00将映射带宽翻倍，且速度不低于5Mbps，适合夜间跑批量同步、备份这类任务；日常带宽可按业务峰值增配，账号带宽与映射带宽可以分别调整。
五、没有客户端环境时，盒子类硬件更省事
有些现场不方便在服务器上长期跑客户端，例如机房只有网络和电源、或者服务器系统不允许装第三方软件。这种情况下可以用花生壳盒子：接入电源和网络，登录b.oray.com激活设备，即可在管理端创建映射，盒子支持2.4G WiFi和RJ45有线两种联网方式，也支持TCP、HTTPS映射。工业现场的PLC、工控机、串口设备则更适合工业级的花生壳盒子X，具备4G蜂窝备用链路和RS232/485转TCP能力，属于把串口设备接入网络的场景化方案。如果仍用软件客户端，注意平台覆盖Windows、macOS、Linux、树莓派和嵌入式SDK，按服务器实际系统选择对应版本即可。
六、服务器配置外网访问的排错顺序
完成一次服务器配置外网访问后如果外网仍打不开，按下面顺序排查，比反复删建映射有效得多。第一，确认服务监听地址不是只绑定了127.0.0.1，否则局域网IP访问必然失败。第二，确认服务器本机防火墙和云主机安全组已放行对应内网端口。第三，确认客户端或盒子处于在线状态，账号没有在别处登录把当前会话踢掉。第四，域名解析排查建议使用国内公共DNS 223.5.5.5或119.29.29.29，避免本地DNS缓存造成误判。第五，网站类应用确认选的是HTTPS映射而不是TCP映射，TCP映射生成的是“域名+端口”的直连地址，浏览器打开网站会失败。把这五步走完，绝大多数“映射建好了但外网访问不了”的问题都能定位到具体环节。
