TG咨询很多人把“远程访问”都称为内网穿透，但公网IP端口映射与内网穿透的前提并不相同。前者是在路由器上把公网端口转给内网设备，后者通常借助一台具有公网访问能力的中转节点，或通过组网服务建立出站连接。选择错误时，可能出现规则配置正确却始终无法访问的情况。
公网IP端口映射需要哪些条件
公网IP端口映射的核心，是互联网用户能够先到达家庭或办公网络的路由器，再由路由器把请求转交给指定设备。通常需要满足以下条件：
- 宽带运营商分配了可入站访问的公网 IPv4，或者网络具备可路由的 IPv6 地址。
- 光猫、路由器或防火墙允许配置入站转发规则。
- 内网设备的服务正在监听，并且本机防火墙允许相应端口。
- 服务设备的局域网地址稳定，不能因 DHCP 租约变化导致转发目标失效。
如果路由器显示的是 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 等私有地址，或显示的地址与网站查询到的出口地址不同，前面可能还有一层运营商设备。若处于运营商级 NAT，也就是 CGNAT，普通公网IP端口映射往往无法直接生效。
如何配置公网IP端口映射
适合的实际场景
例如，某家小型工作室使用固定宽带，路由器获得可入站的公网 IPv4，内部有一台运行 Gitea 的代码服务器。管理员只希望外部成员访问代码网页，而不希望把路由器后台、数据库或其他管理服务暴露到互联网，这时可以只为网站服务配置一条转发规则。
可执行的配置步骤
- 在服务器上确认服务使用的内网地址和监听端口，并为该设备设置 DHCP 静态租约或手动固定地址。
- 登录主路由器，在“端口转发”“虚拟服务器”或类似菜单中，新建外部端口到内网地址及内部端口的映射。
- 尽量选择非默认的外部端口，但不要把它当作真正的安全措施；服务本身仍需启用身份验证和加密。
- 在服务器防火墙中只放行必要端口，并限制来源地址、访问协议或登录方式。
- 先用手机蜂窝网络测试，而不是在同一局域网内测试。部分路由器不支持 NAT 回环，内网测试结果不能代表公网访问结果。
- 查看路由器日志和服务日志，确认请求是否到达路由器、是否成功转发，以及应用是否拒绝了连接。
端口映射的优点是链路短、延迟通常较低，不依赖第三方中转，适合需要稳定入站连接的服务。缺点是公网暴露面更大，运营商可能改变地址，路由器重启后也可能需要检查规则。动态公网地址发生变化时，可以配合动态域名解析，但这只能解决地址变化，不能解决没有公网入站能力的问题。
内网穿透适合什么网络环境
内网穿透主要用于无法直接接受公网连接的情况，例如住宅宽带处于 CGNAT、设备位于公司多层防火墙之后，或者用户只有一个不能配置入站规则的网络出口。常见方式是让内网客户端主动连接到云服务器或穿透平台，再由外部请求经中转链路返回内网服务。
它不要求家庭路由器开放入站端口，因此对网络出口的限制更少。但服务质量取决于中转节点位置、带宽、连接保持机制和平台策略。若采用反向代理，访问者通常先连接代理节点；若使用组网工具，则可能通过虚拟网络地址访问设备。部署前应确认数据是否经过第三方、是否支持访问控制、日志保留规则和流量限制。
两种方式怎么选
| 比较项目 | 公网IP端口映射 | 内网穿透 |
|---|---|---|
| 网络前提 | 需要可入站的公网地址和可控路由器 | 通常只需内网设备能主动访问外部节点 |
| 链路结构 | 访问者直接到达本地路由器 | 经中转、反向连接或虚拟组网到达内网 |
| 延迟与带宽 | 路径较短，通常更可控 | 受中转位置和服务商资源影响 |
| 维护重点 | 地址变化、端口安全和路由规则 | 客户端在线状态、账号权限和中转服务可用性 |
| 典型限制 | 无法绕过 CGNAT 或上级路由拦截 | 可能产生费用、带宽限制或第三方依赖 |
如果能确认路由器获得真正的公网地址，且只需发布少量固定服务，公网IP端口映射通常更直接。若宽带没有入站能力，继续反复修改转发规则没有意义，应改用内网穿透、运营商提供的公网地址，或建立合规的 VPN 组网。无论选择哪一种方式，都应只开放必要服务，优先使用 HTTPS、强密码、多因素认证和来源限制，并定期更新系统。
常见问题
公网地址和公网IP端口映射是一回事吗？
不是。公网地址只是具备被互联网定位的可能，仍需路由器允许入站流量，并把端口正确转发到内网服务。
为什么转发规则正确却无法访问？
常见原因包括处于 CGNAT、光猫和路由器形成双重 NAT、本机防火墙拦截、服务只监听局域网回环地址，或运营商封锁了部分端口。
内网穿透一定比端口映射安全吗？
不一定。它减少了家庭路由器直接暴露的需要，但仍可能把服务发布到互联网。账号权限、加密、访问范围和中转平台可信度同样重要。
能否同时使用两种方式？
可以。例如对固定合作方使用公网IP端口映射，对没有公网地址的临时测试服务使用内网穿透，但应分别设置权限和审计规则。
判断网络条件后再决定方案，才能让公网IP端口映射真正发挥作用；如果缺少可入站的公网地址，内网穿透才是更符合条件的选择。
