DMZ攻略：四种外网访问方案怎么选
这篇DMZ攻略把DMZ主机、端口映射、UPnP和反向代理放进同一条操作流程里比较。你不需要先背网络术语，只要跟着“确认服务—比较入口—小范围测试—收紧权限”四步走，就能看清每种方案的成本、便利性与暴露面，选出真正适合自己的做法。
步骤一：列出必须对外的服务
先别进路由器后台，拿张纸列出服务名称、内部端口和访问人群。比如家庭相册只给自己看，联机游戏需要主机接收入站连接，网站则要给所有访客访问。三者不能套同一方案。只给自己用的服务优先走VPN；公开网页适合反向代理；游戏按厂商端口要求处理。DMZ主机覆盖范围最大，但“少配置几条规则”并不是安全上的优势。
步骤二：逐项比较四种入口
端口映射最直白：一个外部端口对应一个内部服务，暴露面容易控制，但服务多时规则会变杂。UPnP由应用自动申请映射，游戏体验方便，缺点是你不一定知道哪个程序开了什么口。DMZ主机把未匹配的入站流量交给同一设备，适合临时诊断，不适合存放重要数据的主机。反向代理通常集中使用80和443，还能按域名分流，但证书、代理头和更新维护有学习成本。
步骤三：从最小方案开始测试
假设你只需要发布一个HTTPS服务，先映射TCP 443，不要上来就开DMZ。用手机蜂窝网络测试访问，再查看服务日志是否收到真实请求。失败时依次检查公网地址、上级光猫、目标设备防火墙和监听地址；应用若只监听127.0.0.1，路由规则再正确也连不上。只有在确认公网流量能到路由器、单端口规则仍无法定位时，才短暂启用DMZ做对照。
步骤四：根据结果收紧配置
若DMZ可用而端口映射不可用，重点检查协议选错、端口冲突和双重NAT，不要把DMZ直接留着。若两者都失败，大概率是CGNAT、服务未监听或本机防火墙问题。若UPnP能用，手动映射却失败，查看UPnP实际申请的内外端口是否不同。攻略的终点不是“终于能访问”，而是删除测试规则、关闭无关服务，并保留一份端口与用途清单。
常见问题
DMZ和端口映射可以同时开启吗？
技术上通常可以，已明确映射的端口会优先按规则转发，其余流量再交给DMZ主机，但不同路由器实现可能有差异。排障时建议分开测试。
UPnP和DMZ哪个更适合游戏机？
优先尝试UPnP或游戏官方指定端口。DMZ配置简单但暴露范围更大，若临时使用，应确保目标确实是游戏机而非装有重要资料的电脑。
反向代理能完全代替DMZ吗？
不能覆盖所有协议，但对HTTP和HTTPS服务通常更合适。它能按域名集中转发，却不适用于每一种游戏或自定义UDP服务。