为什么需要内网映射？从原理到实践的贝锐花生壳部署指南

在远程办公、跨地域协作日益普及的今天，越来越多用户发现：公司内部的ERP系统、NAS存储、监控摄像头或者开发环境，在没有公网IP或者复杂网络环境下，外网根本无法直接访问。这时候，「内网映射」就成了打通内外网的关键技术。本文将从原理出发，结合贝锐花生壳的实际操作，为你梳理一套完整的内网映射部署方案。

1. 内网映射的核心原理：为什么需要它？

内网映射，本质上是一种NAT穿透技术。在企业或家庭内部，设备通常处于局域网中，它们可以主动访问外网，但外网设备无法直接找到它们——因为本地IP地址（如192.168.x.x）在互联网上不可路由。内网映射通过一台位于公网的服务器作为中转，让内网设备先与该服务器建立连接，然后外网设备通过访问该服务器的域名和端口，间接到达内网服务。贝锐花生壳正是基于这一技术，无需公网IP、无需手动配置路由器，即可快速实现内网映射。

2. 开始前的准备：注册账号与获取域名

要进行内网映射，首先需要拥有一个贝锐花生壳账号。登录官网注册后，系统会自动赠送一个免费的壳域名（有效期1年），该域名已默认激活花生壳服务。建议在注册后尽快完成账号实名认证，否则域名将被锁定无法使用。如果需要HTTPS加密访问，可以购买加密壳域名，花生壳会自动部署SSL证书，本地无需额外配置。

3. 添加内网映射的详细步骤（以Windows远程桌面为例）

下面以最常见的TCP映射——远程桌面（端口3389）为例，展示在花生壳管理平台添加内网映射的完整流程：

第一步：在服务器上安装并登录花生壳客户端

下载最新版花生壳客户端，安装后登录账号。确保服务器本身已开启远程桌面功能，且局域网内其他机器可以通过IP连接成功。

第二步：进入内网穿透管理平台

点击客户端界面上的“+”按钮，或直接登录花生壳管理平台，点击【内网穿透】中的“添加映射”，并填写关键映射信息。

确认无误后点击“确定”，系统会生成一个外网访问地址，格式如：yourdomain.oray.com:12345。

4. **映射后的管理与优化技巧**

添加成功后的内网映射，可以在花生壳管理平台或客户端进行诊断、编辑和删除。诊断功能可查看域名解析是否成功、转发服务器连接状态以及内网服务是否正常。如果遇到连接失败，常见原因包括：内网服务未启动、账号多处登录、映射类型选择错误（如Web服务误选TCP）等。

带宽加速与夜间优化

如果远程访问体验卡顿，可以购买额外带宽。花生壳支持按需升级映射带宽。此外，开启夜间带宽加速后（18:00-次日8:00），速度可提升100%且不低于5Mbps，非常适合大文件传输或高清监控场景。

安全加固

对于重要业务系统，建议开启访问控制功能。花生壳支持设置访问密码、指定时间、区域、IP、浏览器甚至操作系统类型进行限制（需额外购买服务才有）。例如，只允许公司所在城市的IP地址访问ERP系统，或只允许Chrome浏览器访问，有效提升内网映射的安全性。

5. **常见应用场景解析**

远程办公：将公司内网的ERP/OA/CRM系统通过TCP映射发布，员工在外网使用客户端软件连接域名和端口即可访问。

Web服务发布：选择HTTPS映射类型，用于搭建加密网站。花生壳自动部署SSL证书，本地无需配置，外网通过浏览器访问https://域名即可。

NAS远程访问：主流NAS设备可通过TCP或HTTPS映射实现外网访问，支持文件下载、备份等操作。

安防监控：分别映射监控设备的HTTP端口（用于Web预览）和TCP服务端口（用于数据传输），需保持内外网端口一致。

FAQ

Q：免费用户可以切换登录线路吗？

A：免费用户无法切换登录线路，付费用户（如商业版及以上）才支持自定义登录线路选择，以解决ISP线路NAT转发导致的IP不一致问题。

Q：一个域名可以添加多条HTTPS映射吗？

A：不可以，一个域名仅支持添加一条HTTPS映射。如需发布多个网站，建议使用多个域名或购买加密壳域名。

Q：动态端口删除后可以恢复吗？

A：不能。动态端口由系统随机分配，删除映射后该端口无法再次使用。如果希望保留端口，建议购买固定端口服务。

Q：为什么内网映射诊断提示“连接成功”，但外网无法访问？

A：请依次排查：①局域网内访问服务是否正常；②账号是否在多处登录（花生壳程序只能在一处登录，否则映射会指向最新登录的设备）；③映射类型是否选错（如Web服务误选TCP）；④DNS缓存问题，可尝试重新登录客户端或修改本机DNS为223.5.5.5。

Q：多个地点的服务需要发布怎么办？

A：花生壳程序只能映射本地内网服务。若需要在多个地点发布服务，建议为每个地点注册独立的花生壳账号，各自添加映射。