映射端口老是填不对？用贝锐花生壳打通内网服务的端口配置思路

内网服务要发布到公网，绕不开端口这一环。不少用户装好客户端、填完映射表单，结果外网打不开，回头排查才发现问题出在端口上：把外网端口当成了内网端口填，或者给网站服务错选了 TCP。这篇文章不谈虚的，把映射端口的判断逻辑和填写要点拆开讲清楚，帮你少走弯路。

一、映射端口解决的是哪一段的连通问题

内网穿透的本质，是把"公网地址 + 外网端口"的访问请求，转发到"内网主机 + 内网端口"上的具体服务。所以在新增映射时，内网主机填写的是服务器在局域网里的 IP 地址，内网端口填写的是该服务实际监听的端口号；外网域名从账号下的加密壳域名中选择，外网端口则由系统分配或按需选用固定端口。两个端口各管一头，混淆了就会造成转发指向错误，外网自然访问不到目标服务。

从这个角度看，映射端口不是一个可以"随手填"的字段，它直接决定了流量最终落在哪台机器的哪个服务进程上。填写前先确认三件事：服务跑在哪台机器、服务监听的端口是多少、外网用哪种协议访问。

二、先定协议，再谈端口

协议选择决定了端口的取值范围和访问方式。

这个边界划清楚之后，映射端口的填写就顺了：网站、Web 管理后台走 HTTPS，端口对应 443；远程桌面、SSH、数据库、FTP、监控设备的数据传输走 TCP，内网端口填服务自身监听的端口号。反过来，把网站类服务塞进 TCP 映射里，即使端口填对了，浏览器访问也会失败。

三、端口参数里最容易出错的两个字段

外网端口分两种：动态端口由系统随机分配五位数端口号，映射删除后无法恢复；固定端口属于付费增值配件，购买后在有效期内即使删除映射也可重复使用。对访问地址有稳定性要求的场景，固定端口更合适；临时测试用动态端口即可。

内网端口则必须与服务实际监听端口严格一致。以映射内网服务器的 SSH 服务为例，内网端口填 22，映射建立后会生成"域名 + 五位数端口号"形式的外网访问地址，远程工具里输入该地址和端口即可连接。如果服务方自行改过端口，比如把 Web 服务从 80 改成了 8089，那内网端口就要填 8089，照抄默认值必然连不通。

四、内外网端口必须一致的特殊场景

有一类应用对端口一致性有硬性要求，最典型的是 FTP 和部分视频监控设备的数据传输通道。FTP 除了映射 21 端口，还需要映射被动式端口才能完成文件传输：先添加两条 TCP 映射，再把第二条映射的内网端口改成与外网端口一致，最后回到 FTP 服务端把被动端口设置为该外网端口号。视频监控的数据传输通道同理，需要将服务端口号调整为与映射生成的外网端口一致，否则视频流无法正常传输。

这类场景下，映射端口的填写不再是单向的"照着服务填"，而是要反向回到应用配置里做一次对齐。理解了这一点，很多"配置看起来没问题但就是不通"的情况就能解释通了。

五、端口开放之后的安全与排查

端口一旦对外开放，就等于给内网服务开了一扇门。贝锐花生壳提供访问控制能力，可为映射设置访问密码做二次校验，也可按指定时间、区域、IP、浏览器、系统等维度限制访问来源；此外还有黑白名单、威胁情报、监控告警等安全能力，可按需配置。

排查环节也有章法。映射添加完成后，可在列表中查看诊断信息，其中包含域名解析是否成功、是否连接转发服务器成功以及内网服务的诊断状态；遇到映射异常时，将诊断信息截图提供给技术工程师，能显著缩短定位时间。另外需要留意，同一账号不支持多地同时登录，异地登录会导致已设置的本地内网服务映射失效，这也是不少人误以为是端口配错的真实原因。

带宽方面，映射带宽默认按账号等级分配，也可根据实际需求额外付费增配；夜间 18:00 至次日 8:00 所有映射带宽翻倍，速度不低于 5Mbps，带宽基数越大夜间越快，具体额度以官网为准。服务端的承载具备隔离性，单个用户出现异常不会波及全体用户，稳定性上有基础保障。