飞牛端口映射：让外网访问 NAS 的正确姿势

端口映射是把内网服务暴露到公网的方式。它比内网穿透直接，但也更需要小心。

前提条件

• 有公网 IP（IPv4 或 IPv6）；
• 光猫/路由器能做端口映射（NAT）；
• 运营商没封对应端口。

很多家庭宽带的 IPv4 是 CGNAT（运营商级 NAT），没有真正的公网 IP，这种情况端口映射无效，得用内网穿透。

配置步骤

1. 确认公网 IP：路由器 WAN 口地址和「ip.sb」查到的地址是否一致；
2. 光猫改桥接，路由器拨号（可选，但推荐）；
3. 在路由器里添加端口映射：

外部端口 8080 → 内网 192.168.1.100:8080

4. 用外网测试访问。

IPv6 的方式

IPv6 不需要 NAT，但需要：

• 路由器/光猫放行对应端口的入站；
• 防火墙策略允许；
• 客户端能解析到 AAAA 记录。

安全风险

把 NAS 直接暴露公网，风险很高：

• 管理界面被爆破；
• 应用漏洞被利用；
• 扫描器全天候扫描。

建议：

• 只映射必要的服务（比如影视、文件分享）；
• 管理端口不映射，走 VPN；
• 加认证、限速、Fail2ban 之类的防护；
• 开 2FA。

UPnP 要不要开

UPnP 能让应用自动映射端口，方便但危险：

• 应用可以自己开放端口；
• 恶意程序也能利用；
• 建议关闭，手动映射。

常见的坑

CGNAT 没公网 IP：映射无效，换内网穿透。

光猫和路由器双重 NAT：需要在两层都映射。

运营商封 80/443：换高位端口。

映射错了内网 IP：IP 变了就失效。

暴露管理端口被扫：安全风险。

小结

端口映射是「有公网 IP 时最直接」的方案，但安全要求高。

原则：能走 VPN 就走 VPN，必须暴露的只暴露必要端口。