端口转发和防火墙入站规则，到底有什么区别？

图片

假设你在家里的电脑上搭了个NAS，想在公司远程访问。你听人说要"开端口"，于是跑到路由器里配了端口转发，结果死活连不上。又有人跟你说要去防火墙里加条入站规则，你照做了，还是不行。折腾半天才发现——两个都得配。

这其实是个特别常见的困惑。端口转发和防火墙入站规则，听起来都在"开门"，但它们开的不是同一扇门。

端口转发：快递送到哪

先说端口转发。

你家有公网IP（或者说路由器有），你想让外网的人访问你内网某台机器上的服务。但问题是，你的电脑用的是内网IP，比如 192.168.1.100，外网根本不知道这个地址存在。外网能看到的只有你的路由器。

图片

端口转发就是在路由器上配一条规则：凡是发到我公网IP的8080端口的请求，你帮我转给 192.168.1.100 的8080端口。

打个比方。你住一栋写字楼，快递只送到一楼前台（路由器）。你想让快递直接送到你办公室，就得跟前台说一声："凡是写着我名字的包裹，都送到三楼305。"这条吩咐，就是端口转发。

图片

它解决的是"路怎么走"的问题——流量到了路由器，但路由器不知道该转给谁，端口转发就是告诉它目的地。

再说防火墙入站规则。

Windows自带的防火墙（其他操作系统也一样），默认策略是拦住所有从外面主动进来的连接。这是出于安全考虑——总不能让谁都能随便连你的电脑。

图片

入站规则就是你手动告诉防火墙："TCP的3389端口，远程桌面用的，你放行吧。"这条规则生效后，外部到这个端口的连接才不会被拦。

还是用刚才的比方：快递员到了你办公室门口，但你家门锁着。入站规则就是给门卫说一声："3389这个门，有人来就放行。"

图片

它解决的是"门开不开"的问题——流量已经到了设备门口，设备本身的防火墙要不要放它进来。

到这里应该看出来了，这俩经常需要配合使用。

所以远程访问内网服务，典型流程是两步走：先在路由器上配端口转发把流量引到内网设备，再在设备防火墙上加入站规则放行对应端口。两道手续，缺一不可。

不是所有场景都两个全配。

如果访问者和被访问者在同一个局域网，比如你手机和NAS都在家里Wi-Fi下，那不需要端口转发——你们本来就在同一个网络里，流量不需要经过路由器转发。但防火墙入站规则可能还是要配，因为Windows防火墙不管你从哪来，默认都拦外部连接。

反过来，如果服务跑在路由器本身上，比如你在路由器上跑了个轻量Web管理页面，那不需要端口转发——流量已经到路由器了，不用再转。但路由器自身的防火墙可能需要放行。

还有一种情况值得单独说：你在云服务器上跑服务。云服务器有公网IP，不存在NAT问题，所以不需要端口转发。但你需要配两道"防火墙"——一是云平台的安全组（相当于云端的一层防火墙），二是服务器操作系统的防火墙入站规则。很多人只配了一个，另一个挡着，照样连不上。

拿最常见的场景走一遍。你想在公司用远程桌面连家里的Windows电脑。

第一步，路由器端口转发。

图片

登录路由器管理页面（一般是浏览器输入 192.168.1.1），找到"端口转发"或"虚拟服务器"，加一条规则：外部端口填一个不常见的，比如 53389（别用默认3389，安全一些），内部IP填家里电脑的内网地址，比如 192.168.1.100，内部端口填 3389，协议选TCP。

第二步，Windows防火墙入站规则

按 Win+R 输入 wf.msc 打开高级安全防火墙，左侧选"入站规则"，右侧点"新建规则"，选"端口"，TCP特定端口填 3389，动作选"允许连接"，配置文件三个都勾上（域、专用、公用），起个名字保存。

第三步，确认远程桌面已开启。

图片

设置 → 系统 → 远程桌面，确保开关是打开的。

三步都做完，你在公司用远程桌面连家里路由器的公网IP加端口53389，就能连上了。少哪一步都不行——没端口转发流量到不了你电脑，没防火墙规则流量到了也被挡，没开远程桌面连上了也没服务响应。

公网IP的问题
现在很多宽带运营商给的不是公网IP，而是运营商级NAT（CGNAT）后面的内网地址。这种情况下你在自己路由器上配端口转发也没用——你的路由器上面还有一层NAT，外网根本到不了你。解决办法是打运营商客服要公网IP，或者用frp、Tailscale这类内网穿透工具绕过去。
端口别用默认的
3389、22、80这些默认端口天天被自动化扫描。端口转发时把外部端口改一个不常见的，能挡掉绝大部分无差别攻击。不是说不改就一定会被打，但改了成本极低，没理由不改。
云服务器要配两层
安全组和系统防火墙是两道独立的门，开了一个另一个没开照样不通。这是云服务器使用中最常见的"连不上"原因，没有之一。
防火墙规则的网络类型
Windows防火墙规则有三个配置文件：域、专用、公用。如果你连的是公用网络，但规则只在"专用"上启用，那规则不生效。新建规则时三个都勾上最省心。