路由器内网穿透到底怎么配？贝锐花生壳聊聊无公网IP下的正确思路
一、路由器端口映射和内网穿透，前提完全不同
不少人把在路由器上做端口映射等同于内网穿透，其实两者的前置条件差得很远。端口映射需要两样东西：一是运营商分配到真实公网IP，二是对路由器拥有管理权限。现实情况是，很多宽带分到的是私网地址，或者设备压根不在自己手上，映射条目自然无从下手。
内网穿透的机制恰好反过来：内网设备主动访问指定的外网服务器，由这台外网服务器搭建桥梁，打通内外网设备的访问通道。所以讨论路由器内网穿透时，真正要解决的不是“开哪个端口”，而是“谁来牵这条线”。
二、路由器内网穿透的三条可行路径
路径一：内嵌花生壳的路由器。 当路由器本身具备内嵌能力，并且由它直接拨号上网时，可以在路由管理界面完成配置，不必在终端上再装一套软件。这种形态常见于分支机构、门店等无人值守环境。
路径二：在服务所在设备上装客户端。 这条路径更通用：在运行服务的电脑、服务器或树莓派上安装贝锐花生壳客户端，登录后添加映射，填好内网主机与内网端口，保存即生成外网访问地址。此时被访问的设备才是穿透起点，路由器只承担出口角色。
路径三：硬件形态。 机房、弱电箱等不便安装客户端的场景，可以把花生壳盒子接入交换机，由硬件完成映射配置。
三、协议只选TCP或HTTPS，填错必然连不上
映射协议只有两类可选。HTTPS 面向网站、Web 管理后台这类浏览器访问场景，服务端会自动部署证书，本地无需再做证书配置；TCP 面向远程桌面、SSH、数据库、FTP、监控摄像头等非浏览器访问的服务。
路由器内网穿透最常见的配置事故，就是把 Web 服务错设成 TCP，浏览器打开一片空白；或者把数据库映射配成 HTTPS，客户端死活连不上。协议与业务类型必须一一对应，这一步没有折中空间。
四、带宽与外部地址：先算清楚再做
默认带宽按账号等级分配，映射条数或带宽不够时可以付费增配；固定外网端口属于付费配件，动态端口在映射删除重建后会发生变化，做灰度发布或对外通告地址时需要格外留意。夜间带宽加速在 18:00 至次日 8:00 生效，带宽翻倍且不低于 5Mbps，备份、同步这类对时效不敏感的任务可以安排在这个时段。外网入口建议使用账号下的壳域名，保持一个稳定地址，比反复更换端口要省心得多。
五、安全加固：别让内网后台裸跑在公网
访问控制可以限定访问时间与周期、IP 地址与区域、浏览器与系统版本，网页类映射还支持增加访问验证。传输侧采用端到端 TLS 加密，配合黑白名单防黑验证，可以降低恶意访问带来的流量损耗。
数据库、运维后台这类高敏感服务，做完路由器内网穿透之后务必再叠一层身份校验，不要指望“域名不好猜”当作安全边界。
六、几个高频坑
同一个账号不可多地登录，异地登录会导致已配置的本地映射失效。诊断提示“请检查内网主机IP和端口”，多半是内网主机地址或端口填错，或者服务本身没有起来，可以先在本机用 telnet 验证端口连通性。出现域名指向与服务器不一致，通常是 DNS 缓存，清理缓存或把网卡 DNS 改为 223.5.5.5、119.29.29.29，重登客户端再试。
