路由器端口映射设置好了，外网还是访问不了，什么原因？
公司内网有台服务器需要外网访问，在路由器上做了端口映射（端口转发），规则看着没问题，但外网就是访问不到。内网用"内网IP:端口"访问一切正常。端口映射不生效一般有哪些原因？按什么顺序排查？
常见原因
- 没有真实公网IP：运营商分配的是私网/大内网地址（CGNAT），映射规则无的放矢，这是最常见原因。
- 运营商封锁入站端口：80、443等常用端口在部分宽带线路上被封。
- 服务器防火墙未放行：Windows防火墙/安全软件拦截该端口。
- 内网服务器IP变了：DHCP环境下服务器IP漂移，映射指向失效。
- 测试方法不对：在局域网内部用公网IP访问自己的映射，很多设备不支持回流，测试结果不能代表外网。
- 服务只监听本地：应用绑定127.0.0.1而非0.0.0.0，外部连进来无人应答。
分步解决
第一步：确认服务本身正常。 局域网内另一台电脑访问http://内网IP:端口，通则服务正常；不通先修服务（含本机防火墙放行）。
第二步：核对映射规则。 登录路由器检查：内部IP=服务器当前实际IP、内部端口=服务端口、外部端口=计划对外的端口、协议TCP/UDP选对（网页类是TCP）。给服务器设静态IP或DHCP保留，防止漂移。
第三步：验证是否有公网IP（关键步）。 对比两个地址：路由器WAN口获取的IP vs 在百度搜"IP"显示的地址。两者一致=有公网IP；不一致=运营商NAT，端口映射天然无效。致电运营商申请公网IP（企业宽带一般可申请），或改用内网穿透/VPN方案。
第四步：放行服务器防火墙。 服务器上：Windows Defender防火墙→高级设置→入站规则→新建规则→端口→填服务端口→允许连接。第三方安全软件同样放行。
第五步：正确的测试姿势。 手机关闭WiFi用4G/5G流量访问公网IP:外部端口。在局域网里用公网IP自测有"回流"限制，结果不作数。
第六步：排查端口封锁。 有公网IP、防火墙已放行仍不通：可能该端口被运营商封禁（80/443常见），把外部端口改成高位端口（如把80映射改用8080对外）再测：
telnet 公网IP 外部端口
（在4G手机热点下的电脑上执行。）
第七步：核对服务监听。 服务器命令行：
netstat -ano | findstr :端口号
确认监听地址是0.0.0.0而非127.0.0.1，后者需修改应用配置。
预防
- 需要对外服务前先确认宽带具备公网IP，专线/企业宽带优先；
- 服务器一律静态IP+防火墙白名单，变更端口时同步更新映射与防火墙；
- 对外映射的端口定期检查有效性，做成巡检项；
- 安全意识：映射端口尽量非默认、服务用强密码，能上VPN就不裸映射。