端口映射什么意思？从原理到配置实践，一篇讲清贝锐花生壳内网穿透
一、先给一个不绕弯的定义
端口映射什么意思？简单说，就是让外网的一台设备，能够通过一个固定的公网地址加端口，找到并访问你内网某台机器上的某个服务。外网用户看到的是"公网IP（或域名）+ 端口号"，而路由器承担的工作是把这个请求原样转交给内网指定的主机和端口。这里有两个必须写对的参数：一是端口号，二是服务器的内网IP地址，缺一不可。理解了这个转交关系，后面所有的配置动作其实都是围绕这两个参数在做填空。
二、端口映射为什么存在
绝大多数宽带接入分配的是动态地址，而且经过运营商NAT后，家庭或企业网络里根本没有独立的公网入口，内网设备对外是不可见的。端口映射的作用就是在边界设备上"开一扇门"，把外部请求定向到内部服务。绝大多数路由器把这个功能放在"虚拟服务器""NAT"或"端口映射"菜单里，填写内网IP与需要开放的端口即可生效。需要注意的是，如果服务器接在二级路由后面，中间的每一层设备上都要各做一次映射，且上层填的是下一层设备的WAN口地址，而不是最终服务器的地址。
三、它通常落在哪三个位置
第一种是路由器端口映射，也就是上面说的虚拟服务器配置，前提是你手上有真实公网IP并且有路由器的管理权限。第二种是边界防火墙或网关上的策略放行，企业网络里比较常见。第三种是不动路由器、直接在应用层做转发的内网穿透。前两种依赖网络环境，一旦运营商不给你公网IP，或者光猫、路由器的管理权限拿不到，配置这条路就走不通了，此时更现实的选择是内网穿透方式发布服务。这也是为什么同样叫"端口映射"，有人五分钟搞定，有人折腾一整天。
四、动手之前先确认一件事：你到底有没有公网IP
这个问题必须先查清楚，否则后面全是无用功。把路由器WAN口获取到的IP复制到地址查询页面看结果，显示具体归属地和运营商，说明是真实公网IP；如果提示为局域网地址或保留地址，那就是运营商NAT后的地址，路由器上的端口映射对公网无效。这种情况下改用贝锐花生壳的内网穿透，在客户端里添加映射即可把内网服务发布出去，不必进路由器做任何设置。搞清楚端口映射什么意思之后，第一步永远是判断网络前提，而不是急着填表。
TCP 和 HTTPS 到底选哪个
这是新手最容易填错的一栏。判断标准其实很明确：需要浏览器直接打开、涉及网页或管理后台界面的，选 HTTPS，花生壳会自动完成证书部署，本地服务不用再单独配置证书；远程桌面、SSH、数据库、FTP、监控设备、各类客户端软件，一律选 TCP，因为这类数据本身不是给浏览器解析的。花生壳的内网穿透映射提供的正是 TCP 与 HTTPS 这两类协议支持，按照服务形态对号入座即可。再强调一遍端口映射什么意思——它转交的是"地址+端口"，协议选错，端口填得再准，外网一样连不上。
映射做完不通，优先排查这几点
先看内网主机地址是否写成了本机回环地址，必须是局域网内的真实IP，建议给服务器配置静态IP，避免重启后地址变化导致映射失效。再看客户端是否处于在线状态，同一个账号不支持在多地多终端同时登录，异地登录会造成互踢，已配置的本地映射随之失效。最后看服务本身是否在监听、本地防火墙是否放行。如果映射面向的是内部业务系统，建议同时开启访问控制，通过访问验证、IP或区域限制、浏览器与系统限制来收窄暴露面，而不是把入口完全敞开。另外，映射服务的稳定性依赖后端架构，分布式部署的好处是单个节点异常不会波及全体用户，服务连续性更有保障。
