端口映射不是简单“开个端口”，而是让路由器把公网收到的指定端口连接，转发给内网某个 IP 的对应端口。下面以 TP-Link、华为、小米常见 Web 管理后台为例，演示如何为 NAS 和游戏主机建立规则，并排查映射后无法访问的问题。
适用设备与系统版本
本文适用于支持“虚拟服务器”或“端口映射”的 TP-Link、华为、小米家用路由器；NAS 可为群晖 DSM 7.x、威联通 QuTSec/Hero OS，游戏主机可包括 PS4/PS5、Xbox 等。电脑和手机系统不限，通过浏览器登录路由器即可。不同型号及运营商定制固件的菜单名称可能不同，应优先查阅对应型号说明书。
一、先确认公网 IPv4 和双层路由
- 登录路由器后台，在“Internet”“网络状态”或“ WAN 状态”中找到 WAN IPv4 地址。再用手机浏览器在百度搜索“我的 IP”，记录搜索结果。
- 两个地址一致，说明路由器大概率获得了公网 IPv4，可以继续设置端口映射。
- 如果不一致：WAN 地址若属于运营商共享地址段，通常是 CGNAT，普通家庭宽带无法靠端口映射获得入站连接，需要咨询运营商是否可开通公网 IPv4；若光猫也在路由模式，则可能存在双层路由，可将光猫改为桥接模式或联系运营商处理。修改桥接前应确认 IPTV 等业务是否受影响。
二、给 NAS 或主机固定局域网 IP
- 优先在路由器中按 MAC 地址设置“地址保留”或“DHCP 静态地址分配”。常见路径为：TP-Link“设备管理 → DHCP 服务器 → 地址保留”，华为“设备管理 → DHCP 设置 → 静态地址分配”，小米“高级设置 → DHCP 静态地址分配”。
- 也可以在 NAS 或主机网络设置中手动填写 IP、子网掩码、网关和 DNS。网关必须填写当前路由器地址，并确保所选 IP 没有被其他设备占用。
- 本文以路由器为
192.168.10.1、NAS 为192.168.10.30、游戏主机为192.168.10.50为例。实际使用时应以自家网段为准，保留地址尽量放在 DHCP 地址池之外。
三、弄清端口映射的四个参数
端口映射需要填写外部端口、内部 IP、内部端口和协议。以下只是常见示例，实际端口应以 NAS 或游戏官方说明为准：
| 服务 | 内部 IP | 外部端口 | 内部端口 | 协议 |
|---|---|---|---|---|
| 群晖 DSM HTTPS | 192.168.10.30 | 8443 | 5001 | TCP |
| 威联通 QuTSec HTTPS | 192.168.10.31 | 8444 | 443 | TCP |
| 主机对外提供服务 | 192.168.10.50 | 按官方要求 | 通常与外部端口相同 | 按官方要求 |
外部端口可以与内部端口不同，但内部端口必须等于设备实际监听的端口；同一个外部端口不能同时映射到两个内部 IP。端口映射只处理入站连接，主机日常联网主要使用出站连接，因此 PS、Xbox 等正常联机通常不需要手工映射，只有主机承担服务器或官方明确要求时才需要开放端口。
四、TP-Link：添加虚拟服务器规则
- 连接路由器后打开
tplogin.cn或网关地址，使用管理密码登录。 - 常见入口为“高级功能 → 转发规则 → 虚拟服务器”；部分较新后台显示为“应用管理 → 虚拟服务器”。进入后点击“添加”。
- 以 NAS 为例：服务端口或外部端口填
8443，内部端口填5001，协议选TCP，内部 IP 填192.168.10.30。 - 保存并启用规则。如果游戏官方同时要求 TCP 和 UDP 3074，应分别建立两条规则，不要直接选择“全部协议”。
五、华为：添加端口映射规则
- 路由器地址通常为
192.168.3.1，用浏览器打开并登录管理后台。 - 常见路径为“进阶设置 → 防火墙 → 端口映射”，部分固件显示为“安全设置 → 防火墙 → 端口映射”或“端口转发”。点击“添加”。
- 按示例填写外部端口
8443、内部 IP192.168.10.30、内部端口5001，协议选择TCP，然后保存。 - 如果后台完全没有端口映射入口，可能是该型号、固件或运营商定制版本不支持，应查阅对应型号手册，不要照搬其他品牌的路径。
六、小米：添加端口映射规则
- 打开
miwifi.com或192.168.31.1，输入管理密码登录。 - 进入“高级设置 → 端口映射”，少数界面可能写作“端口转发”，点击“添加规则”。
- 填写外部端口
8443、内部 IP192.168.10.30、内部端口5001，协议选择TCP并保存。 - 游戏主机需要多条协议时，可按官方要求分别建立 TCP、UDP 规则，不要把 NAS 与主机共用同一外部端口。
七、从移动网络验证是否成功
- 先在内网测试服务是否正常。Windows 10/11 可打开 PowerShell，运行
Test-NetConnection 192.168.10.30 -Port 5001；macOS 或 Linux 可运行nc -vz 192.168.10.30 5001。 - 关闭设备自身的 Wi-Fi，改用手机 4G/5G，在浏览器访问
https://公网IP:8443。通过 IP 访问时可能出现证书域名不匹配提示，但页面能打开就说明 TCP 映射基本生效。 - 游戏主机可运行系统自带网络测试，或按照游戏官方网络要求检查端口。
- 移动网络仍无法访问时，依次检查：NAS 服务是否正在运行、是否只监听本机地址、NAS 防火墙是否放行、端口是否冲突、WAN 是否为公网 IP、光猫是否形成双层路由，以及运营商是否限制了入站端口。
注意事项
- 不要把 SMB 的 445/139、路由器管理页或 NAS 的 HTTP 5000 端口直接映射到公网。端口映射不会消除 NAS 自身的漏洞。
- 不建议用 DMZ 主机代替精确规则；UPnP 只在确有需要时按设备开放。
- 必须直连 NAS 时，应启用 HTTPS、强密码、两步验证和登录失败锁定，并及时更新 NAS 固件。更稳妥的方案是使用 NAS 官方提供的加密中继或路由器支持的安全远程访问功能。
- 公网 IP 可能随重拨变化，可使用路由器自带的 DDNS；部分运营商也会屏蔽 80、443 等常用端口。
- IPv6 走独立的地址与防火墙规则，不能认为 IPv4 端口映射会自动放行 IPv6；同时应定期更新路由器固件并查看异常连接记录。
小结
设置端口映射的顺序可以概括为：确认公网 IPv4、固定设备 IP、核对服务端口、添加 TCP/UDP 规则，最后用移动网络验证。TP-Link 找“虚拟服务器”，华为找“防火墙中的端口映射”，小米找“高级设置中的端口映射”；菜单虽有差异，四个核心参数始终相同。
