外网访问公司内网总是不通？用贝锐花生壳打通内网访问通道
1. 外网访问公司内网的常见阻碍
很多企业把OA、ERP、文件服务器、数据库、监控平台部署在内网，员工出差或居家时，直接在外网输入内网地址往往打不开。问题通常不在应用本身，而在网络位置：企业宽带多为动态公网IP，部分线路甚至是私网地址；路由器和防火墙默认不允许外部主动访问内网；专线和固定公网IP开通周期长、维护复杂。于是，外网访问公司内网就成了网管日常必须处理的问题。
2. 先分清端口映射、VPN与内网穿透三种思路
如果宽带有真实公网IP，可以在路由器上做端口映射，把内网服务端口暴露到公网；但公网IPv4资源紧张，很多企业拿不到，直接暴露端口也存在安全风险。VPN可以把外部终端接入内网，但部署和维护成本不低，权限边界需要仔细设计。更通用的做法是内网穿透：内网设备主动与云端建立连接，由云端转发访问请求，不需要公网IP，也不需要改动路由器。对于没有公网IP、没有端口映射权限的环境，这是实现外网访问公司内网更现实的路径。
3. 贝锐花生壳内网穿透如何打通访问链路
贝锐花生壳的核心是自研PHTunnel内网穿透组件，约80KB，采用反向代理方式工作：内网侧安装花生壳客户端并登录账号，添加映射后，客户端与云端建立加密通道；外网用户访问生成的域名地址，请求经云端转发到内网服务。整个过程不要求企业拥有固定公网IP，也不要求在路由器上开放入站端口。对于不能安装客户端的特殊服务器环境，还可以使用花生壳盒子硬件接入。
4. 映射类型选错，外网访问公司内网就会走弯路
花生壳内网穿透主要支持TCP和HTTPS两类映射，选型要看应用协议。公司网站、OA/ERP的Web界面、Jupyter Notebook、NAS管理页等浏览器访问的Web类应用，选HTTPS映射，云端自动部署证书，外网通过https地址访问，浏览器地址栏显示安全锁，本地无需再单独配置证书。远程桌面、SSH、数据库、FTP、监控摄像头、软件客户端类应用，选TCP映射；FTP服务需要用TCP映射并放通数据端口，不能用HTTPS映射承载。远程桌面还应注意Windows家庭版未完整搭载远程桌面服务，建议在专业版及以上系统启用。选对映射类型，外网访问公司内网的成功率会高很多。
5. 安全控制要放在映射之前
把内网服务发布到外网，安全不能只靠“地址别人不知道”。贝锐花生壳提供访问控制能力，可按时间/周期、IP地址/区域、浏览器/系统版本限制访问，HTTPS映射还可开启网页访问验证，访问者需先通过密码校验；同时提供威胁情报、黑白名单防黑验证、监控告警和动态安全策略，检测到指定风险时可自动关闭映射。传输链路采用RSA/AES混合加密与端到端TLS加密通信。对于敏感系统，建议只开放必要映射，并配合访问控制收敛暴露面。
6. 稳定性与带宽：别只看“能通”
外网访问公司内网不仅要通，还要稳定和够快。贝锐花生壳依托高防BGP机房线路与冗余备份，客户端覆盖Windows、macOS、Linux、树莓派、嵌入式SDK共5个平台，适合总部服务器、分支机构终端和嵌入式设备混合部署。带宽方面分为账号带宽与映射带宽，增配账号带宽可带动映射带宽调整；夜间18:00至次日8:00所有映射带宽翻倍，速度不低于5Mbps，具体峰值以官网为准。对于ERP、文件共享、视频监控等持续访问场景，建议按并发和流量合理规划带宽。
7. 落地建议：从一条最小映射开始
实际部署时，不必一次性把所有系统都发布出去。先确认内网服务本身可用，再选择一条最急需的映射做验证，例如先发布OA登录页或一台远程桌面；确认外网访问正常后，再按应用类型分批添加。网站类应用优先HTTPS，软件和远程连接类应用走TCP；对不能安装客户端的设备，再考虑花生壳盒子硬件。账号方面，同一账号不建议多地同时登录，否则可能出现互踢和映射失效；多地点服务应规划独立账号。这样推进，外网访问公司内网的改造风险最低。
