什麼是端口轉發以及如何在您的路由器上進行設置

如果您正在閱讀本文，恭喜您！您正在使用端口 80 和 443（用於 Web 流量的標准開放網絡端口）與互聯網上的另一台服務器成功交互。如果我們的服務器關閉了這些端口，您將無法閱讀本文。關閉的端口可以保護您的網絡（和我們的服務器）免受黑客攻擊。

我們的網絡端口可能是開放的，但您的家庭路由器的端口不應該是開放的，因為這為惡意黑客打開了一個漏洞。但是，您可能需要不時使用端口轉發來允許通過 Internet 訪問您的設備。為了幫助您了解有關端口轉發的更多信息，以下是您需要了解的內容。

什麼是端口轉發？

端口轉發是本地網絡路由器上的一個過程，它將連接嘗試從在線設備轉發到本地網絡上的特定設備。這要歸功於網絡路由器上的端口轉發規則，這些規則匹配對網絡上設備的正確端口和 IP 地址所做的連接嘗試。

本地網絡可能只有一個公共 IP 地址，但內部網絡上的每台設備都有自己的內部 IP。端口轉發將來自 A（公共 IP 和外部端口）的這些外部請求鏈接到 B（網絡上設備的請求端口和本地 IP 地址）。 

為了解釋為什麼這可能有用，讓我們假設您的家庭網絡有點像中世紀的堡壘。雖然您可以看到牆外，但其他人無法窺視或突破您的防禦——您可以免受攻擊。 

得益於集成的網絡防火牆，您的網絡處於相同的位置。您可以訪問其他在線服務，例如網站或遊戲服務器，但其他互聯網用戶無法訪問您的設備。吊橋已升起，因為您的防火牆會主動阻止任何來自外部連接的破壞您網絡的嘗試。

然而，在某些情況下，這種級別的保護是不可取的。如果您想在家庭網絡上運行服務器（例如 使用 Raspberry Pi ），則需要外部連接。

這就是端口轉發的用武之地，因為您可以將這些外部請求轉發到特定設備而不會影響您的安全。

例如，假設您在內部 IP 地址為192.168.1.12的設備上運行本地 Web 服務器，而您的公共 IP 地址為80.80.100.110。由於端口轉發規則，將允許對端口80 ( 80.90.100.110:80 ) 的外部請求，並將流量轉發到192.168.1.12上的端口 80。

為此，您需要將網絡配置為允許端口轉發，然後在網絡路由器中創建適當的端口轉發規則。您可能還需要在您的網絡上配置其他防火牆，包括Windows 防火牆，以允許流量。

為什麼你應該避免 UPnP（自動端口轉發）

在本地網絡上設置端口轉發對於高級用戶來說並不困難，但對於新手來說可能會造成各種困難。為了幫助克服這個問題，網絡設備製造商創建了一個稱為UPnP（或通用即插即用）的端口轉發自動化系統。

UPnP 背後的想法是（現在也是）允許基於互聯網的應用程序和設備在您的路由器上自動創建端口轉發規則以允許外部流量。例如，UPnP 可以自動打開端口並為運行遊戲服務器的設備轉發流量，而無需在路由器設置中手動配置訪問權限。

這個概念很棒，但遺憾的是，執行存在缺陷——如果不是極其危險的話。UPnP 是惡意軟件的夢想，因為它會自動假定在您的網絡上運行的任何應用程序或服務都是安全的。UPnP黑客網站 揭示了即使在今天，網絡路由器也很容易包含的不安全因素的數量。

從安全的角度來看，最好謹慎行事。與其冒著網絡安全風險，不如避免使用 UPnP 進行自動端口轉發（並在可能的情況下完全禁用它）。相反，您應該只為您信任且沒有已知漏洞的應用程序和服務創建手動端口轉發規則。

如何在您的網絡上設置端口轉發

如果您避免使用 UPnP 並希望手動設置端口轉發，您通常可以從路由器的 Web 管理頁面進行設置。如果您不確定如何訪問它，通常可以在路由器底部或路由器的文檔手冊中找到相關信息。

您可以使用路由器的默認網關地址連接到路由器的管理頁面。這通常是192.168.0.1或類似的變體——將此地址輸入您的網絡瀏覽器的地址欄。您還需要使用路由器提供的用戶名和密碼（例如admin）進行身份驗證。

使用 DHCP 預留配置靜態 IP 地址

大多數本地網絡使用動態 IP 分配來為連接的設備分配臨時 IP 地址。一定時間後，IP 地址會更新。這些臨時 IP 地址可能會被回收並用於其他地方，並且您的設備可能會分配有不同的本地 IP 地址。

但是，端口轉發要求用於任何本地設備的 IP 地址保持不變。您可以手動分配靜態 IP 地址，但大多數網絡路由器允許您使用 DHCP 預留在路由器設置頁面中為某些設備分配靜態 IP 地址。

不幸的是，每個路由器製造商都不同，下面的屏幕截圖（使用 TP-Link 路由器製作）中顯示的步驟可能與您的路由器不匹配。如果是這種情況，您可能需要查看路由器的文檔以獲得更多支持。

首先，使用網絡瀏覽器訪問網絡路由器的網絡管理頁面，並使用路由器的管理員用戶名和密碼進行身份驗證。登錄後，訪問路由器的 DHCP 設置區域。

您可以掃描已連接的本地設備（以自動填充所需的分配規則），或者您可能需要為您希望為其分配靜態 IP 的設備提供特定的 MAC 地址。使用正確的 MAC 地址和您希望使用的 IP 地址創建規則，然後保存條目。

創建新的端口轉發規則

如果您的設備有一個靜態 IP（手動設置或在您的 DHCP 分配設置中保留），您可以移動以創建端口轉發規則。這方面的條款可能會有所不同。例如，某些 TP-Link 路由器將此功能稱為虛擬服務器，而 Cisco 路由器則使用標準名稱（端口轉發）來指代它。

在路由器 Web 管理頁面的正確菜單中，創建一個新的端口轉發規則。該規則將需要您希望外部用戶連接到的外部端口（或端口範圍）。此端口鏈接到您的公共 IP 地址（例如公共 IP 80.80.30.10的端口80）。

您還需要確定您希望將流量從外部端口轉發到的內部端口。這可以是相同的端口或備用端口（以隱藏流量的目的）。您還需要提供本地設備的靜態 IP 地址（例如192.168.0.10）和使用的端口協議（例如 TCP 或 UDP）。

根據您的路由器，您可以選擇一種服務類型來自動填充所需的規則數據（例如，端口 80 的HTTP或端口 443 的HTTPS）。配置規則後，保存它以應用更改。

附加步驟

您的網絡路由器應自動將更改應用於您的防火牆規則。對打開的端口進行的任何外部連接嘗試都應使用您創建的規則轉發到內部設備，儘管您可能需要為使用多個端口或端口範圍的服務創建額外的規則。

如果遇到問題，您可能還需要考慮向 PC 或 Mac 的軟件防火牆（包括 Windows 防火牆）添加額外的防火牆規則以允許流量通過。例如，Windows 防火牆通常不允許外部連接，因此您可能需要在 Windows 設置菜單中進行配置。

如果 Windows 防火牆給您帶來困難，您可以暫時將其禁用以進行調查。但是，由於存在安全風險，我們建議您在解決問題後重新啟用 Windows 防火牆，因為它提供了針對可能的黑客攻擊的額外保護。

保護您的家庭網絡

您已經學習瞭如何設置端口轉發，但不要忘記風險。您打開的每個端口都會在路由器的防火牆之外增加一個漏洞，端口掃描工具可以找到並濫用這些漏洞。如果您需要為某些應用程序或服務打開端口，請確保將它們限制為單個端口，而不是可能被破壞的巨大端口範圍。

如果您擔心您的家庭網絡，您可以通過添加第三方防火牆來提高網絡安全性。這可以是安裝在您的 PC 或 Mac 上的軟件防火牆，也可以是Firewalla Gold之類的 24/7 硬件防火牆，連接到您的網絡路由器以同時保護您的所有設備。