内网服务怎么安全地暴露到公网？映射端口这件事，贝锐花生壳讲明白了

很多运维人员和开发者都遇到过这样一个问题：内网里的服务明明跑得好好的，可一到外网就访问不了。折腾路由器、申请公网IP、改防火墙规则，绕了一大圈，结果往往还是不通。其实，这件事的核心就四个字——映射端口。把内网服务的端口通过安全的方式“映射”到公网，外网就能直接访问。贝锐花生壳要讲的，正是这件事。

一、什么是映射端口？

映射端口，简单说就是把内网某个服务的IP和端口，转换成一个公网可访问的地址。

贝锐花生壳采用的正是这样一种思路。它基于自研的PHTunnel内网穿透核心组件，不需要公网IP，也不需要登录路由器做端口转发，只要在内网设备上安装花生壳客户端，登录账号后添加映射，就能把内网服务发布到公网。整个过程不改变现有网络结构，对原有业务零侵入。

二、映射端口时，协议类型怎么选？

这是最容易出错的地方。贝锐花生壳目前支持TCP和HTTPS两种映射协议，选错了往往导致服务无法访问，需要特别注意。

HTTPS映射：适用于网站类应用，比如公司官网、管理后台、私有云盘等。花生壳会在云端自动部署HTTPS证书，外网端口固定为443，用户通过浏览器直接输入域名即可访问，本地服务器无需再做任何加密配置。需要注意的是，一个域名仅支持添加一条HTTPS映射。

TCP映射：适用于远程桌面、SSH、数据库、FTP、联机游戏等非浏览器类应用。比如Windows远程桌面映射3389端口，SSH映射22端口，MySQL映射3306端口，SQL Server映射1433端口。这类应用对数据传输准确性要求高，TCP映射天然适合；但TCP映射不支持在浏览器中直接访问。

以远程桌面为例，在内网电脑上安装并登录贝锐花生壳客户端，添加一条TCP映射，内网端口填3389，外网端口选择动态分配，生成外网地址后，在任何地方打开远程桌面客户端，输入这个地址就能连回办公室电脑。

三、添加映射端口时，这些参数要填对

在贝锐花生壳管理平台添加映射时，有几个关键参数直接决定了后续能否正常访问，需要仔细核对：

应用名称：自定义即可，方便自己识别。

内网主机：运行服务的设备内网IP地址。可以在服务器上通过ipconfig（Windows）或ifconfig（Linux）命令查看。

内网端口：服务实际监听的端口。比如远程桌面是3389，MySQL是3306，网站是80或8080。

映射协议：根据上一步的判断，网站选HTTPS，软件类选TCP。

外网域名：选择账号下的壳域名。

外网端口：有两个选项。动态端口由系统随机分配5位数端口，免费，但映射删除后端口无法恢复；固定端口为付费增值配件，删除映射重建时可以复用。

这里有一个细节值得注意：对于FTP这类需要多端口的服务，不能只映射一个端口。FTP除了21端口，还需要映射被动式端口才能完成文件传输。实操中可以先添加一条内网端口为21的TCP映射，再额外创建一条映射，然后把内网端口修改成与外网端口一致，最后把NAS或FTP服务器的被动端口范围改成这个端口。

四、带宽与夜间加速，别忽略提速选项

映射端口只是第一步，访问体验好不好，带宽很关键。贝锐花生壳的映射带宽默认根据账号等级分配，如果觉得速度不够，可以根据实际需求额外付费增配。

五、安全防护，映射端口不是暴露端口

不少人对映射端口的顾虑在于安全性——把内网服务暴露到公网，会不会被攻击？贝锐花生壳在安全方面提供了多层防护机制。

首先是通信加密。花生壳客户端与服务器之间采用RSA/AES混合加密，配合端到端TLS加密通信，数据在传输过程中不会明文暴露。

其次是访问控制。每一组映射都可以单独设置访问规则，包括：

访问密码：访问前需输入密码校验，适合网站类应用；

时间限制：仅允许在指定时间段内访问；

IP限制：仅允许指定IP地址或地区的用户访问；

浏览器/系统限制：限定特定的浏览器类型或操作系统才能访问。

比如财务系统只允许公司内部员工在办公时间访问，就可以设置“工作时间段+指定IP段”的组合策略。即使外网域名泄露，外部人员也无法在非授权条件下打开页面。

此外，还有黑白名单防黑验证机制，以及监控告警功能，可对服务应用、访问流量、登录状态进行实时监控。一旦发现异常，可以及时响应。

FAQ

Q：映射端口和外网端口是同一个东西吗？

A：不是。内网端口是服务在内网设备上实际监听的端口，外网端口是公网访问时使用的端口。贝锐花生壳的映射机制会自动完成这两者之间的转换，外网用户只需要记住“域名+外网端口”即可。

Q：动态端口会变吗？怎么固定下来？

A：动态端口是系统随机分配的，映射删除后重新创建会分配新的端口。如果希望端口长期不变，可以购买固定端口配件，在有效期内即使映射删除，端口也可以重复使用。

Q：FTP服务应该选哪种映射协议？

A：FTP选择TCP映射，不能使用HTTPS映射。除了映射21端口，还要额外添加一条映射并让内外网端口保持一致，同时修改FTP服务器的被动端口范围，才能正常完成文件传输。