内网映射到公网为什么总是不通？贝锐花生壳从原理到落地的完整思路
在局域网里跑得好好的 Web 服务、数据库、远程桌面，一旦离开同一个网段就彻底失联，这是很多人在发布内网应用时遇到的第一道坎。问题的根源不在服务本身，而在于内网地址在公网上不可路由：绝大多数宽带分配的是经过 NAT 转换的地址，外部设备没有可直接指向的入口。所谓内网映射到公网，本质是借助一台具备公网可达性的中转服务器，把内网某个 IP 与端口发布成一个外部可访问的域名地址，让数据经由中转节点完成双向通信。
1. 先分清两种能力：DDNS 与内网穿透
在动手之前，需要明确目标属于哪一类场景。贝锐花生壳同时提供动态域名解析与内网穿透两项能力：前者把运营商动态分配的公网 IP 与域名绑定，适合宽带本身具备真实公网地址、只是地址会变化的情况；后者不要求真实公网 IP，也不需要登录路由器配置端口转发，直接在客户端或管理平台建立映射即可。判断依据很直接：网络中没有真实动态公网 IP、没有路由器管理权限、或者网络结构过于复杂导致部署困难时，都应当走内网穿透这条路，而不是在端口转发上反复折腾。
2. 协议只选两种：TCP 与 HTTPS
映射协议的选择直接决定服务能否正常访问，这里没有模糊空间。贝锐花生壳的内网穿透仅支持 TCP 与 HTTPS 两类映射。HTTPS 映射面向网页类站点，由花生壳侧自动完成证书部署，本地服务无需再单独申请和配置证书，浏览器地址栏可直接显示安全锁。TCP 映射则用于准确性要求较高的数据传输，例如远程桌面、SSH、数据库、FTP 以及各类软件客户端，这类服务不支持在浏览器中直接打开。把网站误设成 TCP、或把远程桌面误设成 HTTPS，都是导致"映射建好了却打不开"的典型原因。
3. 参数填写：五个字段决定成败
内网映射到公网的配置项并不多，但每一项都需要精确对应。内网主机填写提供服务那台设备的局域网 IP，内网端口填写服务实际监听的端口号，外网域名从账号下的加密壳域名中选择，外网端口默认由系统动态分配，固定端口属于付费增值配件，删除映射后仍可重复使用。应用名称仅作标识用途，可自定义填写。需要提醒的是，动态端口在映射删除重建后会发生变化，若业务对访问地址的稳定性要求较高，应提前规划固定端口。此外，同一账号不支持在多处同时登录，异地登录会触发互踢并导致已建立的映射失效，多地点发布服务建议使用不同账号分别映射。
4. 稳定性与带宽：中转链路的两项保障
数据既然要经过中转服务器，链路的稳定性就成了核心变量。贝锐花生壳的服务器架构采用高防 BGP 机房线路与 BGP 机房集群，支持冗余备份，单点故障不会波及全部用户。核心技术为自研的 PHTunnel 内网穿透组件，体积约 80KB，以高性能反向代理的方式承载映射流量。带宽方面，场景映射默认 10Mbps，并支持增配，峰值以官网为准；夜间带宽加速会在 18:00 至次日 8:00 将所用映射带宽翻倍，且速度不低于 5Mbps，对需要夜间批量传输的业务较为友好。
5. 安全边界：映射出去就要管得住
内网服务一旦映射到公网，访问来源就不再局限于可信网络，访问控制必须同步配置。贝锐花生壳提供访问控制能力，可按时间与周期、IP 地址与区域、浏览器与操作系统类型设定限制条件，网页类映射还可启用访问验证做二次校验。传输链路上采用 RSA/AES 混合加密与端到端 TLS 加密通信，配合威胁情报、黑白名单防黑验证与监控告警，形成相对完整的安全闭环。对于面向海外访问的业务，可通过海外节点就近转发与智能全球调度降低链路时延。
