端口映射详细图文教程：用已配置的群晖条目一步步演示

上图第 4 行标有“优速会员赠送 · 续费会员”，与第 3 行的独立月付、年付条目不同。不要把所有条目都当作赠送端口。

价格、剩余条数和最终开通结果以 会员方案及订单页面为准。付费前确认购买的是哪一条端口，而不是只续费了账号。

1. 打开群晖 NAS网络隧道客户端，确认登录正确的本站账号，显示“已连接”。
2. 本例先在局域网访问 http://192.168.1.20:5000，确认能看到并登录 DSM。
3. 目标不在同一台设备时，确认运行客户端的设备也能访问目标网段；电脑能打开不代表被防火墙隔离的 NAS 也能打开。
4. 记录真实 IP 和端口，必要时在路由器固定目标设备 IP。

点击图片查看原图 ↗

127.0.0.1 只表示运行客户端的那台机器。本例用 192.168.1.20:5000 便于理解；同机服务且监听允许时，也可使用 127.0.0.1:5000。

1. 登录本站 WEB，左侧点击 “端口映射”。
2. 在列表页面右上角点击 “+ 新增映射”，进入下图表单。
3. 如果是多客户端账号，先核对当前账号和设备归属，避免给另一台机器建立映射。

点击图片查看原图 ↗

创建 SSH、远程桌面等映射时，操作相同，只是“内网目标”换成相应设备和端口。不要把同一示例复制很多条当作不同用途。

1. 找到刚新增的备注：确认该条确实出现在列表中。
2. 核对公网地址：用保存后列表显示的最终地址，不使用新增前记下的旧端口。
3. 核对内网目标：应当与您刚测试通过的服务一致。
4. 核对在线和服务期：需要付费时，按页面完成对应条目的开通，再回来刷新查看。

等待配置下发，以页面成功提示为准。只看见“添加成功”不代表内网服务已启动；显示“在线”后还需下一步外网实测。不要用反复删除、重建的方式等待生效。

对图 1 第 3 行，浏览器演示入口是 http://demo.vip6.8x6x.com:7229。外网填 7229，不填 5000；群晖目标仍然是 5000，不需要改成 7229。

1. 手机关闭 Wi-Fi，或使用另一处网络的电脑。
2. 在映射列表点击公网地址旁的 复制按钮，取得您自己的“域名:公网端口”。
3. 本例目标是 HTTP 网页，所以在浏览器使用 http://自己的域名:分配端口；先只检查是否出现 DSM 登录页。
4. 实际输入密码及测试文件前，先按第 9 步配置有效的 HTTPS，或改用用户中心的 HTTPS 域名穿透入口。进入 DSM 时使用群晖 DSM 账号，不是本站账号。

列表里有“打开”图标，但只有目标是网页协议时，浏览器直接打开才有意义。SSH、数据库等应在对应软件连接，浏览器报错不能单独证明映射失败。

点击图片查看原图 ↗

1. 在列表找到对应备注，点击该行 “编辑”。
2. 群晖 IP 或服务端口变了，就修改“内网目标(ip:端口)”。
3. 如果只是换内网目标，通常无需点公网端口的“更换”；改公网端口后，原来的外网地址就不能继续照用。
4. 点击 “保存”，回列表核对新目标。等待配置下发后，新开一个连接验证。

已有连接可能仍沿用之前建立的通道，验证时请新开浏览器窗口或重新连接测试软件。正在传输重要文件时先等任务结束，再更改目标，避免影响这条映射的使用。

以上是常见端口示例，不是要求统一修改您的系统。一条映射只对应一个目标服务；应用如果有多个独立端口，要按它的实际需求分别配置。不要映射无认证后台、数据库或 Docker 管理接口。

要通过 TCP 映射使用 HTTPS，目标服务本身必须提供 HTTPS，并配置与访问域名匹配、客户端信任的有效证书。仅仅将目标改成 5001，不能保证证书就正确。只需远程访问 DSM 网页时，可先使用用户中心提供的 HTTPS 域名穿透入口。

• 本例 HTTP 映射用于理解连通关系；不建议在不可信网络通过明文 HTTP 输入重要密码。
• SSH 使用密钥；数据库限制账户权限、使用 TLS；远程桌面启用网络级别身份验证。
• 只允许必要来源和端口，不要直接关闭所有设备防火墙。
• 保护群晖账号，开启二次验证、自动封锁，遵守本站服务规则。

• 客户端已连接，目标设备的服务已启动。
• 映射权益与会员状态均已核对。
• 内网目标和公网端口没有填反。
• 外网用对应软件完成真实登录和小文件测试。

还不能定位时，可到 问题反馈提供映射备注、发生时间、设备系统、客户端版本和已脱敏错误截图。不要提交密码、密钥或用户文件内容。