当前位置：首页 > 运维技巧

从“云”到“端”：端口映射如何打通云主机的“任督二脉

2026年08月11日运维技巧1481

摘要：# 从“云”到“端”：端口映射如何打通云主机的“任督二脉” 当你兴致勃勃地在云主机上部署了一个私人博客、搭建了一个小型游戏服务器，或者开发了一个本地测试用的Web应用，却发现只能在云主机内部访问，外部设备根本连不上——这大概是很多云服务初学者都会遇到的…

从“云”到“端”：端口映射如何打通云主机的“任督二脉”

当你兴致勃勃地在云主机上部署了一个私人博客、搭建了一个小型游戏服务器，或者开发了一个本地测试用的Web应用，却发现只能在云主机内部访问，外部设备根本连不上——这大概是很多云服务初学者都会遇到的“堵点”。

问题出在哪？答案很简单：云主机的“大门”没打开。而打开这扇门的钥匙，就是“端口映射”。

一、先搞懂：什么是端口映射？

要理解端口映射，得先从“端口”和“网络地址转换（NAT）”说起。

我们知道，云主机本质是运行在服务商数据中心里的一台“虚拟电脑”，它有自己的内网IP（比如172.16.0.10）——这是云主机在服务商内部网络里的“身份证”，只能和同一内网的其他云资源通信。而我们要从外部访问云主机，必须通过它的公网IP（比如123.45.67.89）——这是云主机在互联网上的“公开地址”。

但问题来了：一个公网IP可能对应多台云主机（NAT技术的常见场景），当外部请求打到公网IP时，网络怎么知道要把请求转发给哪台云主机？这时候“端口”就派上用场了。

端口是设备上的“网络接口编号”（范围0-65535），比如Web服务默认用80端口，HTTPS用443端口，SSH远程连接用22端口。端口映射，就是把公网IP的某个端口（比如公网8080端口）和云主机内网IP的某个端口（比如内网80端口）“绑定”起来——当外部设备访问公网IP:8080时，网络会自动把请求转发到云主机的内网IP:80，从而实现外部访问。

二、为什么需要端口映射？

端口映射不是“花里胡哨的技巧”，而是云主机对外提供服务的“必经之路”。它的核心价值有三个：

1. 让内网服务“暴露”到互联网

你在云主机上搭建的博客用的是80端口，但这个端口默认只对内网开放。如果不做端口映射，朋友想访问你的博客，输入公网IP后根本找不到对应的服务——因为公网IP的80端口没和云主机的80端口绑定。

2. 解决公网IP不足的问题

公网IP是有限资源，很多云服务商不会给每台云主机分配独立公网IP（尤其是轻量应用服务器或共享型主机）。通过端口映射，一台拥有公网IP的“网关设备”（比如云路由器、NAT网关）可以把不同端口分配给不同云主机，实现“一个公网IP服务多台云主机”。

3. 提升安全性（合理配置下）

直接开放云主机的所有端口会有安全风险，但端口映射可以“按需开放”——比如只把公网8080端口映射到内网80端口，其他端口全部关闭，相当于给云主机加了一层“过滤门”。

三、实战：如何给云主机做端口映射？

不同云服务商的操作路径略有差异，但核心逻辑一致：配置“端口转发规则”。下面以阿里云和腾讯云为例，手把手教你操作。

第一步：确认云主机的基础信息

在操作前，先收集两个关键信息：

云主机的内网IP：登录云服务商控制台，找到云主机实例详情页即可看到（比如阿里云的“私有IP地址”）；
服务的内网端口：比如你搭建的Web服务用80端口，游戏服务器用25565端口，先确认服务正常运行且端口已开放。

第二步：阿里云端口映射（通过“安全组”+“NAT网关”）

阿里云的端口映射主要通过“安全组”（控制入站/出站规则）和“NAT网关”（实现公网与内网的转发）配合实现：

配置安全组：
- 登录阿里云控制台，进入“云服务器ECS”→“安全组”；
- 选择云主机所属的安全组，点击“配置规则”；
- 点击“添加安全组规则”，设置：
  - 方向：入方向；
  - 协议类型：根据服务选择（比如HTTP选TCP，游戏可能选UDP）；
  - 端口范围：填写服务的内网端口（比如80/80）；
  - 授权对象：0.0.0.0/0（允许所有外部IP访问，若只想特定IP访问可填写具体IP段）；
  - 优先级：默认1（数字越小优先级越高）。
配置NAT网关端口转发：
- 若云主机没有独立公网IP，需先创建NAT网关（进入“VPC”→“NAT网关”→“创建NAT网关”）；
- 进入NAT网关详情页，点击“端口转发规则”→“添加规则”；
- 设置：
  - 公网IP：选择NAT网关绑定的公网IP；
  - 公网端口：填写要对外暴露的端口（比如8080）；
  - 内网IP：填写云主机的内网IP；
  - 内网端口：填写服务的内网端口（比如80）；
  - 协议：和安全组一致（TCP/UDP）。
测试访问：
打开浏览器，输入“公网IP:公网端口”（比如123.45.67.89:8080），若能正常打开你的Web服务，说明映射成功。

第三步：腾讯云端口映射（通过“安全组”+“弹性公网IP”）

腾讯云的操作更简洁，若云主机已绑定弹性公网IP，直接通过安全组配置即可：

绑定弹性公网IP（若未绑定）：
- 进入“云服务器CVM”→“实例”，选择云主机，点击“弹性公网IP”→“绑定”；
配置安全组：
- 进入“安全组”→选择云主机所属安全组→“入站规则”→“添加规则”；
- 设置：
  - 协议端口：比如“TCP:8080”（公网端口）；
  - 源地址：0.0.0.0/0（允许所有外部访问）；
  - 策略：允许；

配置云主机内部端口转发（可选）：
若云主机的服务端口和公网端口不一致（比如公网用8080，内网用80），需在云主机内部配置端口转发（以Linux系统为例）：

# 开启IP转发
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
# 配置iptables转发规则（把8080端口转发到80端口）
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 内网IP:80
iptables -t nat -A POSTROUTING -p tcp --dport 80 -j SNAT --to-source 内网IP
# 保存规则（不同系统命令可能不同，比如CentOS用service iptables save）