家里装了宽带，路由器后面接了几台设备，想让外网访问内网某台机器上的服务，比如远程桌面、摄像头或者自建网站，这时候就得用到端口转发。而如果你用的是虚拟服务器，比如在本地或云上跑的虚拟机，这个操作就更常见了。
什么是端口转发
简单说，端口转发就是把路由器收到的某个外部请求，原样转给内网中指定的设备和端口。比如你家公网IP是 123.123.123.123，别人访问 123.123.123.123:8080，你想让这个请求落到内网 192.168.1.100 这台虚拟服务器的 80 端口上，就需要在路由器里设置一条规则。
为什么虚拟服务器特别需要它
虚拟服务器通常运行在宿主机的内网环境里，比如你用 VMware 或 VirtualBox 跑了个 Linux 虚拟机，默认网络模式可能是 NAT，这意味着它能上网，但外面没法主动连进来。如果你想从公司电脑连回家里的虚拟机做开发，或者把虚拟机里的网页服务对外发布，就必须打通这条路。
怎么设置端口转发
登录你的路由器管理页面，一般地址是 192.168.1.1 或 192.168.0.1，找到“端口转发”或“虚拟服务器”这类选项（不同品牌叫法不一样，TP-Link 叫“转发规则”，华为可能叫“NAT 设置”）。
添加一条新规则：
- 外部端口：你想对外暴露的端口，比如 8080
- 内部 IP：你的虚拟服务器在局域网中的地址，比如 192.168.1.100
- 内部端口：虚拟机上实际运行服务的端口，比如 80
- 协议类型：TCP、UDP 或两者都选，一般 HTTP 用 TCP 就够了
保存之后，别人通过你的公网 IP + 外部端口就能访问到虚拟机里的服务了。
虚拟机网络模式要注意
确保你的虚拟机网络模式不是仅主机（Host-only）或默认 NAT，得改成桥接（Bridged）模式，这样它才能获得一个真正的局域网 IP 地址。如果用的是 VMware 的 NAT 模式，也可以在虚拟网络编辑器里手动做端口映射，但不如直接改桥接来得省事。
举个实际例子
你在 VirtualBox 里装了个 Ubuntu，搭了个网站跑在 Nginx 上，默认监听 80 端口。虚拟机设为桥接模式后，分配到了 192.168.1.105。然后去路由器添加转发规则：外部端口 8080 → 内部 IP 192.168.1.105，内部端口 80，协议 TCP。
设置完，朋友在外地输入 http://你的公网IP:8080，就能看到你虚拟机里的网页了。
安全提醒别忽视
开了端口转发，等于把内网服务暴露出去。如果虚拟机里跑的是默认密码的服务，或者系统没更新，很容易被扫描攻击。建议：
- 尽量不用常用端口，比如别把外部设成 22（SSH）或 3389（远程桌面）
- 配合防火墙限制访问来源 IP
- 定期更新虚拟机系统和软件
动态公网IP怎么办
很多家庭宽带没有固定公网 IP，重启路由器后 IP 会变。这时候可以搭配 DDNS（动态域名解析），比如花生壳，在路由器里启用对应服务，绑定一个域名。以后别人通过域名加端口就能访问，不用每次都问你新 IP 是多少。
检查是否成功的小技巧
在外部网络用手机流量访问一下你的公网 IP 加端口，或者让朋友试试。如果打不开，先确认：
- 虚拟机服务确实运行着，并且监听正确端口
- 路由器防火墙没拦截
- 光猫是不是也做了桥接，有没有二次 NAT
有时候问题出在光猫，运营商给你分了个私网 IP，那怎么配都没用。可以打客服问问有没有公网 IP，或者把光猫改成桥接模式，自己路由器拨号。
代码示例：查看端口监听状态
在虚拟服务器上运行下面命令，确认服务已经在监听：
netstat -tulnp | grep :80如果看到类似 tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN，说明没问题。如果是 127.0.0.1:80，那就只能本地访问，得改服务配置绑定到 0.0.0.0。