端口映射本质就是给路由器设定转发规则。家里搭建NAS，电脑部署网站，想要外网访问这些设备，但设备处在路由器内网，分配192.168开头局域网地址，外网无法直接定位。端口映射的作用就是告诉路由器，外网发来的指定端口请求，不要丢弃，转发给内网对应设备处理。
动手配置前先确认一件事，有没有公网IP。登录路由器后台查看WAN口IP，如果IP以10、100、172、192开头，代表运营商分配内网地址，就算配置端口映射，外网流量依旧无法抵达路由器。这种情况可以致电运营商申请公网IP，或者改用其他方案，后面会说明。WAN口IP是222、123这类公网地址，才可以继续配置。
浏览器打开路由器后台，地址一般是192.168.1.1或者192.168.0.1，账号密码印在路由器机身背面。找到虚拟服务器、端口转发、NAT转发这类菜单。不同品牌命名不一样，TP-Link叫虚拟服务器，华硕叫端口转发，小米叫端口映射，腾达也叫虚拟服务器，菜单大多放在高级设置或者应用管理分类下。
点击新增规则，填写项不多，但是参数不能填错。外部端口是外网访问使用端口，想要外网用8080访问就填写8080。内部端口是内网设备服务监听端口，NAS管理界面使用5000端口，就填写5000。内部IP填写设备局域网地址，例如192.168.1.100。这里有个坑，设备IP依靠DHCP自动分配，路由器重启之后IP会变动，映射规则失效。要么在路由器DHCP设置绑定设备MAC地址和固定IP，要么在设备系统手动设置静态内网IP。协议不确定就选TCP/UDP或者全部，填完保存，部分路由器需要重启才能生效。
运营商家庭宽带封禁80和443端口，用来阻止家庭宽带私自搭建网站。外部端口不要选用这两个，优先8080、8443、5000、3389这类端口。外网访问地址格式为公网IP:8080，必须带上端口号。
不想逐条添加端口规则，部分路由器支持DMZ主机功能。把内网设备设置为DMZ主机，所有外网请求全部转发到这台设备。操作省事，但安全风险很高，设备直接暴露公网，防火墙防护基本失效。清楚安全风险再考虑开启，一般场景不推荐。
还有UPnP机制，下载软件、游戏程序可以自动请求路由器开放端口，不用手动配置。UPnP安全方面一直存在争议，恶意程序也能借助它开放端口。路由器默认大多关闭UPnP，没有需求保持关闭即可。
以上操作前提是拥有公网IP。没有公网IP，端口映射无法生效，这时可以使用内网穿透工具，花生壳、frp、ngrok都属于这类。拿花生壳举例，安装客户端登录账号，新建TCP映射，内网主机填写127.0.0.1或者设备局域网IP，内网端口填写服务端口，保存生成外网域名加端口。外网访问这个域名端口，就能连接内网设备。整套操作不用修改路由器，也不需要公网IP。缺点是免费版带宽有限，稳定性比不上直接端口映射。
配置完成无法访问，不要直接怀疑路由器故障。逐项检查：对应服务是否正常启动，Windows防火墙有没有放行端口，路由器映射规则是否启用，外网访问IP是不是当前有效公网IP。DNS缓存也会带来干扰，公网IP更新之后本地缓存保留旧记录，命令行执行ipconfig /flushdns，或者切换手机4G/5G网络测试，很多时候就能连通。
安全方面需要留意。端口映射等于在内网防护墙上开出通道。远程桌面、SSH、数据库这类管理端口，不要直接映射对外。必须远程访问，修改默认端口，设置高强度密码，开启登录失败锁定，或者使用VPN接入内网再访问。不要等到设备被扫描入侵之后再补救。
现在不少宽带支持IPv6，每台设备都可以拿到公网IPv6地址。这种场景不需要端口映射，路由器防火墙放行对应端口，外网就能通过IPv6地址访问设备。IPv6地址同样会变化，一般搭配DDNS使用。这是另一种可行方案，但不是所有网络环境支持IPv6。
端口映射本身操作不难，难点在于判断自身网络环境。拿到公网IP就在路由器添加转发规则，没有公网IP就选用内网穿透。不要把配置想得太过复杂，也不要低估把内网服务暴露公网带来的安全隐患。