内网访问外网没问题，为什么外网就是连不进来？用贝锐花生壳打通反向链路

先把方向说清楚：内网访问外网和反向访问不是一回事

日常办公里，内网访问外网几乎是“天然”的——只要网关能出网，浏览器、客户端、系统更新都能正常跑。可一旦把方向倒过来，让外部设备主动连进内网，问题立刻就来了：绝大多数宽带分配到的是运营商 NAT 之后的地址，设备没有独立公网 IP，外网请求根本找不到目的地。

内网穿透解决的正是这个不对称问题：由内网设备先主动连接外部服务端，再由这台服务端搭桥，把外网请求转发进来。通道方向始终是“由内向外”发起的，所以既能绕过 NAT，也能穿过那些只拦入站、不拦出站的防火墙。换句话说，内网访问外网只是出站方向的通行证，反向那一段仍需额外机制补上，贝锐花生壳做的就是这个补位。

先判断：这个场景到底要不要上内网穿透

不是所有“连不上”都该用穿透解决。可以先对着几个特征过一遍：网络中没有真实动态公网 IP；网络结构过于复杂或部署困难；拿不到路由器账号密码、也没有端口映射权限。只要命中其中一条，常规的端口映射路子基本就走不通了。

反过来，如果手上有真实公网 IP、又能登录路由器做转发规则，那么优先用路由器端口映射会更直接。很多人把内网访问外网调通之后，就误以为整条链路已经打通，其实两个方向各自独立，需要分别验证。

协议只有两种，选错了后面全白搭

贝锐花生壳的映射协议只有 TCP 和 HTTPS 两类，边界划得很清楚：

TCP：适合远程桌面、SSH、数据库、FTP、各类软件客户端、监控摄像头等对准确性要求高的数据传输场景，不支持直接用浏览器打开。

HTTPS：适合网站、Web 管理后台等浏览器访问场景。花生壳会自动部署证书，本地不需要额外配置，浏览器地址栏直接显示安全锁。

有两个细节值得单独记一下：FTP 走的是 TCP 映射（21 端口加被动端口），不能用 HTTPS 承载；Windows 家庭版没有完整搭载远程桌面服务，3389 需要专业版及以上系统才能映射。

客户端形态：五个平台加两款盒子

客户端覆盖 Windows、macOS、Linux、树莓派、嵌入式 SDK 五个平台，基本能覆盖从个人电脑到开发板的部署需求。

如果完全不想在设备上装软件，可以选择硬件形态：花生壳盒子支持 2.4G WiFi 与 RJ45 有线两种联网方式，免安装客户端，接上网络后登录 b.oray.com 激活即可用。工业场景（PLC、工控机、串口设备）则对应工业级的花生壳盒子 X，提供 4G 蜂窝备用与 RS232/485 串口转 TCP 能力，两者定位不同，不要混用。

安全：把“能访问”变成“只让该看的人看”

把内网服务暴露到公网，安全策略必须同步跟上。贝锐花生壳提供访问控制能力，可以对单条映射设置访问密码做二次校验，也可以按时间、周期、IP 地址或区域、浏览器、系统版本等维度限制访问来源。

此外还有威胁情报能力，依托百万级高可信失陷检测情报做研判，配合黑白名单防黑验证、监控告警（服务应用、访问流量、登录状态）以及动态安全策略——一旦检测到指定病毒类型，可自动关闭对应映射。这套组合的意义在于：内网访问外网时基本不需要额外防护，但反向开放服务时，入口收敛就是第一道防线。

稳定性与速度：机房、自研内核与夜间加速

链路稳定性来自基础设施。花生壳采用高防 BGP 机房线路与 BGP 机房集群，支持冗余备份；核心组件是自研的 PHTunnel，体积约 80KB，承担高性能反向代理的角色。域名解析侧则依赖 DDNS，全称 Dynamic Domain Name System，用于把动态变化的公网地址与固定域名持续绑定。

速度方面，夜间带宽加速是一个实用设计：18:00 到次日 8:00，所有映射带宽翻倍，且速度不低于 5Mbps，带宽基数越大，加速后的绝对值越高。对于白天带宽吃紧、夜间做批量同步或备份的场景，这个时段安排能省下不少等待时间。

两个高频坑：多地登录和异地登录

第一个坑是多地登录。同一账号不支持在多处同时登录，异地登录会互踢，已配置的本地映射随之失效。如果确实有多个地点需要发布服务，正确做法是用多个账号分别映射，而不是共用一个账号来回切。

第二个坑是壳域名提供国内备案服务，可用于正式对外站点，但不等同于可对外商用的正式站点。把内网访问外网调通后直接拿壳域名对外挂生产业务，属于典型误用，正式上线前应完成自有域名备案与绑定。