路由器端口转发怎么设置

端口转发（也叫端口映射、虚拟服务器）的作用是：把外网发到某个端口的请求，转给内网某台设备的某个端口。它常用于远程访问 NAS、家里的摄像头、自建服务。

前提：你得有公网 IP

多数家庭宽带现在是运营商级 NAT（CGNAT），路由器 WAN 口拿到的地址是 100.64.x.x 这类内网地址，此时端口转发不会生效。判断方法：在路由器状态页看 WAN IP，再和「ip138」这类网站显示的出口 IP 比对，一致才说明有公网 IP。

设置步骤

1. 先给目标设备固定内网 IP：在路由器的「DHCP 静态分配」里绑定 MAC 地址，避免重启后 IP 变化导致转发失效。
2. 进入「端口转发」或「虚拟服务器」。
3. 填写外部端口、内部 IP、内部端口、协议（TCP/UDP/两者）。
4. 保存并应用。
5. 在防火墙里放行对应端口。

怎么验证

• 用手机流量（不是家里 Wi-Fi）访问 公网IP:端口，能打开即成功。
• 或用在线端口检测工具，从外部扫描该端口是否开放。
• 打不开时先确认设备本身在局域网能访问，再查系统防火墙。

安全提醒

• 不要把路由器的管理端口（80/8080）直接映射到公网。
• NAS 的 DSM 管理页不要暴露在公网，只映射必要的服务端口，并开启双重验证。
• 尽量用非默认端口，减少被扫描的概率。
• 暴露的服务要及时打补丁，摄像头和 NAS 是勒索软件的重灾区。

更安全的替代方案

• 内网穿透：frp、Tailscale、ZeroTier，不需要公网 IP，走加密隧道。
• 厂商自带的远程访问：群晖 QuickConnect、威联通 myQNAPcloud，配置简单。
• VPN 回连：在外面先连回家里的 VPN，再访问内网，比直接暴露端口安全得多。

常见问题

设置后内网能访问、外网不行？

九成是没有公网 IP，或者运营商封了该端口（80、443、8080 常被封）。

需要开 UPnP 吗？

不建议。UPnP 会让内网应用自行开端口，安全风险较高，手动映射更可控。

一句话总结：先确认有公网 IP，再固定内网地址并映射端口，安全要求高就用内网穿透替代。