家用路由器端口转发不生效的排查备忘

## 需求 要把一台放在机房的内网 NAS 暴露到公网，方便外出时取文件。路由器上按常规思路配了端口转发：外网 8443 → 内网 192.168.1.200:5000。配完之后用手机 5G 访问，超时。折腾了两小时，记录一下完整的排查过程。 ## 排查顺序 按从外到内的顺序过一遍，五分钟能定位大部分问题。 **第一步：确认拿到的到底是不是公网 IP。** 光看路由器 WAN 口显示的地址不够，运营商经常给你的是大内网地址（100.64.0.0/10 段）。正确做法：在路由器上看 WAN IP，再去搜索引擎搜"IP"，对比两边是否一致。不一致就是 NAT 嵌套，端口转发做了也没用，只能走内网穿透。 **第二步：确认服务端监听地址。** 很多人把服务监听在 `127.0.0.1` 上，这种情况下路由器把包转进来，服务也收不到。检查命令： ```bash ss -tlnp | grep 5000 ``` 看到 `0.0.0.0:5000` 才对；如果显示 `127.0.0.1:5000`，去服务的配置文件里改绑定地址。 **第三步：内网先验证。** 用同网段的另一台电脑直接访问 `http://192.168.1.200:5000`。内网都不通，问题在服务或本机防火墙，跟路由器无关，别白费功夫。 **第四步：检查路由器的防火墙。** 不少路由器有两处配置：端口转发之外还有 WAN 口入站规则。比如有的品牌默认丢弃所有未经请求的入站流量，需要单独放行。也有的路由器把端口转发规则放在"虚拟服务器"或"NAT"菜单里，名字不叫端口转发，容易漏。 **第五步：确认映射的是正确的接口和地址。** 内网 IP 最好是静态绑定（DHCP 静态租约或手写静态 IP）。如果 NAS 重启后 DHCP 分了新地址，端口转发就指向一台不存在的主机，症状正是"之前能用，突然不能用了"。 ## 还有几个隐蔽原因 **运营商封端口。** 80、443、8080 这些常用端口经常被封，特别是家用宽带。换个高位端口（比如 8443、52119）一般就能绕过。 **NAT 环回（Hairpin NAT）。** 在内网用公网 IP 访问自己的映射，很多家用路由器不支持，表现为"外网能连，内网反而不行"。这不算故障，但测试时容易被误导——**测端口映射一定要用外网环境**，手机 5G 或者内网穿透探针都行。 **IPv6 与 IPv4 混淆。** 如果服务同时监听 v6 和 v4，路由器转发走的是 v4，而你测的时候访问的是 v6 地址，结果会完全不同。 **服务本身有 IP 白名单。** 有些 NAS 后台自带访问控制，只允许特定 IP 访问。路由器这边全通了，应用层又把请求挡了。 ## 我的最终方案 这台 NAS 最后没用端口转发——运营商给的是 100.64 段大内网，怎么做都不通。改用 DDNS 加内网穿透（基于 WireGuard 的方案）解决：内网机器主动拨号出去建立隧道，外部通过域名加固定端口回连，绕开了公网 IP 的限制。 顺带把 NAS 的服务端口改成了 52119，并限制了穿透服务的 IP 白名单，只放行自己的常用出口 IP。 ## 排查口诀 > 先看是不是公网 IP，再看服务听没听对，内网先通，外网后测。 按这个顺序走，端口转发的问题基本都能在一个下午内收尾。