連接埠對映實戰三法：IIS 重導向、WinRoute Pro 與 NAT 穿透完整指南

連接埠對映 (Port Mapping) 讓 Internet 流量穿透 NAT/防火牆，精準抵達內網主機特定服務連接埠。本文彙整教學與組網實務中驗證可行的三種實作方案：善用 IIS 內建重導向、WinRoute Pro 內建對映功能、以及通用 NAT 設定邏輯，涵蓋 WWW、FTP、自訂協議等多元場景。

方案一：善用 IIS 5.0/6.0 內建主目錄重導向

Windows 2000/XP/Server 2003 內建 IIS，其 WWW 與 FTP 服務皆支援「主目錄重導向」，功能等同反向 Proxy 的輕量級連接埠對映。

1. WWW 服務重導向設定

1. 開啟「Internet 服務管理員」→ 展開網站 → 右鍵「預設網站」→「內容」→「主目錄」索引標籤。
2. 選擇 「另一台電腦上的共用位置」：在「網路目錄」填入 UNC 路徑 \\{內網伺服器}\{共用名} (例：\\Server6\www)，需預先建立共用並設定 NTFS 權限。
3. 或選擇 「重新導向至 URL」：在「重新導向至」填入內網伺服器完整 URL (例：https://192.168.0.6)。

2. FTP 服務重導向設定

操作邏輯同 WWW：在「預設 FTP 網站」內容頁「主目錄」索引標籤，同樣支援「共用位置」與「重新導向至 URL」兩種模式。注意 FTP 重導向至 URL 時，客戶端需支援被動模式與重導向指令。

方案二：WinRoute Pro 內建連接埠對映功能

WinRoute Pro (現 Kerio Control 前身) 作為 NAT 核心的網際網路共享軟體，提供圖形化連接埠對映介面。

1. 執行 WinRoute Administration 登入管理主控台。
2. 選單「Settings → Advanced → Port Mapping」進入對映設定頁。
3. 點選「新增」配置對映規則：

• 協定： TCP / UDP / 兩者皆選
• 監聽連接埠： 對外服務連接埠 (單一或範圍)
• 連接埠類型： 單一連接埠 / 連續範圍
• 目的主機： 內網目標伺服器 IP
• 目的連接埠： 內網服務實際連接埠

此方案適合中小企業邊界閘道器同時承擔 NAT、防火牆、VPN、流量管制與連接埠對映角色的場景。

方案三：通用 NAT/防火牆連接埠對映邏輯 (適用 Cisco、FortiGate、pfSense、RouterOS 等)

核心邏輯：Destination NAT (DNAT) — 將「對外 IP + 對外連接埠」轉譯為「內網 IP + 內網連接埠」。

對外介面: WAN_IP:80     →  內網伺服器: 192.168.1.10:80   (Web)
對外介面: WAN_IP:21     →  內網伺服器: 192.168.1.10:21   (FTP)
對外介面: WAN_IP:3389   →  內網伺服器: 192.168.1.50:3389  (RDP 管理)
對外介面: WAN_IP:8080-8090 → 內網伺服器: 192.168.1.20:8080-8090 (自訂應用範圍)

關鍵補充設定：

• 防火牆規則： 必須配套允許「WAN → DMZ/內網」對應連接埠的存取規則。
• 靜態 ARP/鄰居表： 避免內網伺服器 IP 漂移導致對映失效。
• 健康檢查/存活偵測： 進階防火牆支援對映後端健康檢查，失效自動移除對映規則。

實務部署建議

安全性提醒

1. 連接埠對映等同於在防火牆鑿洞，嚴禁對映管理介面 (22, 23, 3389, 8080, 8443) 直通 Internet，需透過 VPN/堡壘機/零信任存取。
2. 啟用入侵防禦 (IPS) 檢查對映流量，阻擋已知漏洞利用載荷。
3. 定期稽核對映規則清單，移除廢棄專案，縮減攻擊面。

掌握連接埠對映核心邏輯與工具鏈選型，讓內網服務安全、可控地觸達全球用戶。