波仔
🔌 第三章 从网线到网络设备
📄 一句话概括

NAT 使外部无法主动访问内网——要放行就得手工登记端口映射（静态 NAT），或把服务器放进 DMZ。

📝 本节和前面几节的关系

3.4.3 讲清了内部的出向机制；本篇讲反方向（入向）为什么难。

一、为什么进不来

外部请求打到全局地址——路由器查对照表， 没有【谁登记过这个端口】的记录 → 丢弃。

二、怎么放行

端口映射（静态 NAT）：手工写死【公网端口 → 内网主机:端口】； 或把对外服务放进 DMZ（13 课 7.1-7.5），与内网隔离。

三、动手 Demo：从互联网访问内网

默认拒绝与放行手段：

print('外部请求 202.1.2.3:80 -> 路由器查表')
print('-> 表里没有【谁登记的 80 端口】 -> 丢弃')
print('放行: 手工端口映射 / 放到 DMZ')

实跑输出：

--------------------------------------------------------------------
从互联网访问内网
--------------------------------------------------------------------
  NAT 的双刃：内部能出去，外部**进不来**——

    外部请求 202.1.2.3:80 -> 路由器查表
    -> 表里没有【谁登记的 80 端口】
    -> 丢弃

  想放行就得**手工登记端口映射**（静态 NAT/端口转发），
  或者放到 DMZ（13 课 7.1-7.5）。
  这是安全，也是部署 Web 服务器要折腾的第一件事。

部署自有 Web 服务器的第一课：先解决【外面怎么找到我】—— 教材这一节正是这个问题的答案。

30 秒实验

  1. 在路由器管理页给一台内网机器做一次端口映射（或看说明）。
  2. 查查 DMZ 与端口映射的安全性差别。
  3. 想想为什么家宽公网 IP 常常连端口 80 都不给开。

常见误区

  1. 以为 NAT 双向对称——入向默认全拒。
  2. 以为端口映射就是防火墙——它只是放行，不带过滤策略。
自测三问（点开对答案） 1. 为什么外部进不来？ —— NAT 对照表没有对应的出向记录。 2. 两种放行方式是什么？ —— 端口映射（静态 NAT）、DMZ。 3. DMZ 的作用是什么？ —— 把对外服务与内网隔离。

相关笔记