端口转发指南
1. 确认本地服务
修改路由器前，请在局域网内测试应用，确认服务器 IP、端口和协议。服务必须监听网络地址，不能仅监听 127.0.0.1。Linux 可用 ss -lnt 查看 TCP 监听；Windows 可用 Get-NetTCPConnection -State Listen。局域网测试成功不代表外网可访问。
2. 判断 NAT 和 CGNAT
比较路由器 WAN IPv4 与网站检测到的公共 IP。100.64.0.0/10 属于共享地址空间；10/8、172.16/12 和 192.168/16 属于私有地址。地址不一致可能源于 CGNAT、双重 NAT、VPN 或其他出口。修改规则前请使用助手并向运营商确认。
3. 配置与测试
通过 DHCP 为服务器保留固定内网 IP。规则应包含正确的外部端口、内部 IP、内部端口和协议，例如针对相应服务配置 TCP 25565 → 192.168.1.50:25565。服务器防火墙仅放行必要流量。请从局域网外测试；路由器可能不支持 NAT 回环。本站仅测试 TCP，不测试 UDP。
4. 减少暴露
不要为了测试而将服务器置于 DMZ 或关闭整个防火墙。使用具体规则，并在不再需要时移除。管理后台、数据库和远程访问可考虑 VPN 或 IP 允许列表。如使用 CGNAT，请向运营商咨询公共 IPv4、IPv6 或适用的隧道方案。