端口映射完全指南：NAT環境下FTP/CS/BT/QQ語音四大場景實戰配置

家庭與中小辦公網絡普遍采用NAT共享上網，外網無法直接訪問內網服務。本文以網關 192.168.1.1、內網服務器 192.168.1.3 為例，詳解軟路由（代理軟件）與硬路由（帶路由功能Modem/寬帶路由器）兩大類網關的端口映射配置實戰。

核心原理：DNAT（目的地址轉換）

外網請求 → 網關公網IP:公網端口 → DNAT規則 → 內網服務器私有IP:私有端口。映射本質是「端口級別的IP轉發」。

四大典型應用場景端口速查表

場景一：軟路由/代理服務器（以CCProxy為例）

FTP/CS/BT通用映射步驟：

1. 打開CCProxy主界面 → 「設置」 → 「端口映射」標簽
2. 點擊「添加」 → 填寫：
   外部端口：公網訪問端口（如21/27015/6881）
   內部IP：192.168.1.3
   內部端口：服務實際端口（通常相同）
   協議：TCP（FTP/CS/BT均為TCP）
3. BT範圍映射：批量添加 6881-6890，或設置「端口範圍映射」功能
4. 保存 → 服務生效

QQ語音特殊處理（二級代理模式）：

現象：HTTP代理下QQ文字正常，語音失敗。
原因：語音使用UDP直連，HTTP代理不轉發UDP。
解決：

1. CCProxy → 「設置」 → 「代理設置」 → 勾選「支持UDP」
2. 或設置SOCKS5代理（CCProxy默認1080端口支持SOCKS5），QQ設置 → 網絡設置 → 代理類型選SOCKS5 → 服務器 192.168.1.1:1080
3. 確保網關防火牆放行UDP 1080及QQ語音端口範圍（4000-50000動態）

場景二：硬路由（TP-Link/D-Link/華為/小米等主流路由器）

通用Web管理界面操作路徑：

瀏覽器訪問 https://192.168.1.1 → 管理員登錄
→ 轉發規則 / 虛擬服務器 / NAT設置 / 端口映射
→ 添加新條目

關鍵字段填寫規範：

進階技巧：

• DMZ主機： 將 192.168.1.3 設置為DMZ，所有未匹配映射的端口全轉發給它（慎用，等同裸奔）
• UPnP自動映射： 內網客戶端（uTorrent/迅雷/Steam）啟用UPnP，路由器開啟UPnP，自動建立臨時映射（需信任客戶端）
• 多公網IP： 路由器綁定多條寬帶/公網IP，可配置「多WAN端口映射」指定出口IP

驗證與排查清單

1. 內網直連測試：telnet 192.168.1.3 21 確認服務本身正常
2. 外網驗證：手機4G/外部VPS → telnet <公網IP> 21 或在線端口掃描工具
3. 防火牆二次確認：Windows防火牆/第三方殺毒/服務器安全組 放行對應入站端口
4. FTP被動模式：需額外映射「被動端口範圍」（如50000-50100），並在FTP服務器配置對應 PassivePortRange 與 ExternalIP

安全警示

• 最小映射原則：僅映射業務必要端口，禁用「全端口映射/DMZ」除非極其必要
• 修改默認端口：FTP 21→2121、CS 27015→28015、RDP 3389→自定義，降低自動化掃描命中率
• 強認證：服務帳號複雜密鑰/證書認證，啟用Fail2Ban/防暴力破解
• 日誌審計：路由器/服務器記錄訪問源IP、時間、頻次，異常告警

端口映射是NAT環境下「內網服務對外發布」的橋樑。規範配置、最小授權、持續審計，才能在享受便利的同時守住安全防線。