路由器端口映射实测三步搞定远程访问

我家里装了一个NAS用来存照片和文件，但出差时总想远程调取。试了好几个方案都不行，最后发现是没做路由器端口映射。后来我拿着路由器的管理页面操作了三步，就搞定了外网访问。今天就用我自己用的TP-Link路由器为例，说说具体怎么弄。

第一步：先让设备IP固定下来。大部分路由器默认是动态IP，重启后设备的内网地址会变。所以得进路由器的DHCP服务器设置里，找“静态地址分配”或者“地址绑定”，把NAS或摄像头MAC地址和IP绑定。我用的是小米路由器，在“终端管理”里直接点了“设为静态IP”。这一步不能省，否则映射的IP一变，远程就断了。

第二步：找到端口映射开关。不同路由器叫法不同，常见的叫“虚拟服务器”、“端口转发”、“端口映射”。我翻了好几遍菜单才在“高级设置”里找到“端口转发”。点进去后添加规则：外部端口填你想从外网访问的端口（比如8080），内部IP填刚才绑定的那个内网地址，内部端口填NAS或设备本身的服务端口（比如5000），协议选TCP（一般网页服务用TCP）。我实测填完保存，立刻生效。

第三步：验证是否通。光路由器上设置好还不够，得确认外网能访问。我用自己的手机关闭WiFi用运营商4G流量，在浏览器输入“公网IP:外部端口”的格式。第一次输入访问不了，后来发现运营商家宽没给公网IPv4，得打电话找客服要。等到拿到公网IP后再试，页面秒出。如果还是不行，可能是路由器防火墙默认拦截，进“安全设置”检查一下是否限制了端口。

最后提醒：做端口映射相当于开了个门到内网，不安全。我只在需要远程访问时临时开启，用完后立刻关掉。或者配合白名单只允许特定外部IP访问。上面三步走完，我外地连家里NAS看文件的速度就跟局域网差不多了。

问：路由器端口映射会不会导致被攻击？

答：有一定风险。开放端口后，外网能直接访问内网设备，如果设备本身有漏洞就可能被利用。建议只映射必需端口，并给设备设复杂密码；不使用时在路由器后台关闭该映射规则，或者结合防火墙只允许白名单IP访问。

问：为什么我按步骤设置了端口映射，外网还是访问不了？

答：最常见原因有四个：一是运营商分配的是内网IP（比如100.64.x.x），需要打电话改公网IP；二是路由器防火墙或Windows自带防火墙拦截了端口，去防火墙里添加允许规则；三是设备本身服务没开启或端口写错了（比如NAS默认端口是5000，你填成了5001）；四是外部端口和内部端口填反了。

问：路由器端口映射和DMZ主机有什么区别？

答：端口映射只开放指定端口给指定内网设备，其他端口仍然受防火墙保护。DMZ（非军事区）则把一台内网设备的所有端口完全暴露给外网，安全性极差。一般做P2P下载、游戏联机偶尔用DMZ，日常远程访问NAS或摄像头推荐用端口映射更安全。