很多人配置TP-Link端口映射，反复操作外网依旧无法访问，问题大多不在配置步骤，而是动手之前没有确认公网IP。登录路由器后台查看WAN口IP，如果IP以100.64、10、172、192开头，代表运营商分配内网地址，端口映射参数填写再正确，外网请求也无法抵达路由器。这种情况联系运营商申请公网IP，或者改用内网穿透工具，不要反复调整映射设置。
确认存在公网IP之后，第二步固定内网设备IP。Windows系统按下Win+R输入cmd，运行ipconfig，记下IPv4地址，一般是192.168.1.x或者192.168.0.x。记下IP之后进入路由器DHCP服务器页面，找到静态地址分配，绑定设备MAC地址和这个内网IP。跳过这一步，设备重启或者DHCP租期到期更换IP，映射规则就指向无效地址。
浏览器输入192.168.1.1或者tplogin.cn，输入管理员密码登录TP-Link后台。TP-Link路由器端口映射入口分两种，取决于路由器界面版本。老款蓝绿界面机型，打开转发规则菜单，里面有虚拟服务器选项。新款云路由器，进入应用管理，应用中心找到虚拟服务器。部分新型号菜单路径调整为高级设置→NAT转发→虚拟服务器。入口不一样，填写表单内容基本一致。
点击添加新条目，弹出配置表单。很多教程要求填全所有选项，其实核心四项就足够。服务名称自定义，方便识别，例如远程桌面、NAS。外部端口填写外网访问端口，内部端口填写设备服务监听端口。两个端口号可以相同，也可以不一样。举个例子，NAS管理服务运行在5000端口，可以内外端口都填5000，外网访问公网IP:5000。也可以外部端口设8080，内部端口保留5000，外网访问公网IP:8080，路由器自动转发流量到内网5000端口。
内部服务器IP填写刚才绑定好的静态内网地址，例如192.168.1.100。协议不确定服务类型直接选择ALL，状态勾选启用，保存设置。
这里是很多人踩坑的地方。家庭宽带运营商封锁80和443端口，就算做好映射外网也访问不了。外部端口避开这两个，选择8080、8443、5000这类端口。如果映射网站服务，内网服务跑在80端口，外部端口填写8080，内部端口填写80，外网访问公网IP:8080，路由器完成端口转换。
保存规则之后不要直接外网测试。内网另一台设备浏览器或者远程桌面工具输入内网IP:内部端口，例如192.168.1.100:3389，能够连通说明本地服务正常。内网访问不通，端口映射配置再好也没用。内网验证通过，切换手机4G或者5G网络，断开家里Wi-Fi，浏览器输入公网IP:外部端口，例如123.45.67.89:8080，能够打开代表映射生效。外网打不开，可以使用端口检测网站canyouseeme.org，输入外部端口，由外网节点探测端口连通状态。
外网测试失败，按顺序排查。确认公网IP没有变动，家庭宽带IP动态变化，路由器重启就会更新，需要核对当前WAN口IP。Windows防火墙是否拦截该端口，很多场景内网访问正常，外网连接被防火墙阻断。路由器防火墙开启阻止WAN口ping，一般不会阻断TCP连接，但也需要留意。路由器UPnP开启状态下，自动创建规则有可能和手动映射冲突，可以临时关闭UPnP重试。
公网IP动态变化，每次变动都要告知他人新地址，使用不方便。TP-Link路由器内置动态DNS功能，可以绑定花生壳这类DDNS服务，路由器监测WAN口IP变更，自动更新域名解析记录。配置完成外网访问使用域名:端口，不用持续关注IP变动。
最后说DMZ主机。映射配置不通的时候有人会直接开启DMZ主机，内网设备接收全部外网流量。设备完全暴露公网，防火墙防护失效，安全风险很高。只有充分了解风险才考虑启用，不要拿DMZ替代端口映射。UPnP同理，下载、游戏程序能自动开端口，但安全隐患一直存在，没有需求保持关闭，需要用到的端口手动添加映射规则。