VPN 与端口转发详解：用途与风险

大多数时候，你根本不会想到端口。你打开网页，手机发起连接，回复回来，一切正常。但有一天你想做点不一样的事：给朋友们开一个游戏服务器，出门在外时访问家里电脑里的文件，或者让某个点对点应用连接得更好。教程这时让你“转发端口”，而加上 VPN 之后，这一切似乎又行不通了。

本文说明端口转发是什么、VPN 如何改变它的行为、人们正当地用它做什么，以及更重要的一点：开放的端口可能让什么东西面临风险。内容仅供科普，并不声称任何特定的 VPN 服务提供端口转发，也不会告诉你该买哪一个。如果你还不清楚 VPN 是如何工作的，可以先读VPN 是如何工作的。

用通俗的话讲端口和地址

可以把 IP 地址想成一栋楼的门牌地址，把端口想成其中某一扇门的编号。一台设备可以同时运行许多服务，比如网站服务器、游戏服务器或文件共享程序，每个服务在自己的端口号上监听，端口号从 1 到 65535。一个连接总有两端，每一端都有地址和端口。

再补充两个概念：

• 公网地址和私有地址。 家里的设备通常使用私有地址，其类型在 RFC 1918 中有定义，例如 192.168.1.20。这些地址不能从互联网直接访问。你的路由器有一个面向外部世界的公网地址。背景知识见什么是公网 IP 地址。
• NAT（网络地址转换）。 路由器让许多私有设备共用一个公网地址。当你的笔记本电脑发起连接时，路由器会记住它，并把回复送回正确的那台电脑。这份“记忆”就是你的设备可以自由上网的原因。

端口转发做了什么

对于由你的设备发起的连接，NAT 运作得很好。但当外部的人想主动连接你时，它就失效了：路由器没有那次对话的记录，也不知道这个请求是给哪台私有设备的，默认就会把数据丢弃。

端口转发就是填补这个缺口的规则。它的意思比如是：“当有连接到达我的公网地址的 25565 端口时，把它送到 192.168.1.20 这台设备。”这样，外部世界就有了一扇通向那一台设备的门。

没有转发时	有转发时
所有连接都由你的设备发起	外部的人也可以主动连接到所选设备的所选端口
没有人请求的入站流量被丢弃	该端口上的入站流量可以到达设备
很难对外提供服务	你设备上的服务可以被外部访问
暴露面很小	该端口上的服务暴露给整个互联网

人们用它做什么

原因有很多，而且大多数都很平常。

• 为朋友搭建游戏服务器，朋友们的游戏客户端需要主动连接到你的机器。
• 远程访问你自己的文件、家里的媒体服务器或者监控摄像头，比如你不在家的时候。
• 自建服务（Self-hosting），例如小型网站、笔记服务器或家庭自动化中枢。
• 点对点应用，用于合法的文件，让外部可以访问到你，可能提高能连上你的其他对等端的数量。
• 语音和视频工具，在直接连接时效果更好。

如果你的目标只是安全地访问自己的设备，往往有比向整个互联网开放端口更好的设计，本文后面会谈到。

VPN 如何改变情况

开启 VPN 后端口转发是否还有效，取决于规则放在哪里，以及你的流量从哪里出去。

1. 在家里的路由器上转发，不开 VPN

这是最经典的情形。路由器有公网地址，你添加了规则，外部的人就能访问设备。只要你的宽带运营商给你一个可用的公网地址，它就有效。有些运营商会让很多用户躲在同一个共享地址之后（运营商级 NAT），这种情况下，你的路由器没有自己的公网地址可供转发。

2. 在家里的路由器上转发，设备上开着 VPN

开着 VPN 时，设备会通过隧道发送回复，所以回复是从 VPN 服务器的地址发出的，而不是从你家的地址。有人连接你家的地址，发来了请求，但回复却从另一个地址返回，连接通常就会失败。路由器上的规则是对的，问题在于回复走了另一条路。这种不匹配是造成混乱的常见原因。

3. 在路由器上开启 VPN

如果直接在路由器上设置 VPN，家里所有流量都会从 VPN 服务器出去。路由器面向公网的地址实际上变成了服务器的地址。你自己路由器上的转发规则就没有可转发的对象，因为外部的人已经不再连接你的路由器了。

4. 由 VPN 一侧提供的转发

有些 VPN 服务可以分配一个转发端口，这个端口开放在服务器的公网地址上，并通过隧道传递给你的设备。并非每个服务都提供这个功能，而提供的服务通常给你一个不能自由选择、并且可能变化的端口号。不要想当然地认为你的服务有这项功能，要看你的通行证包含什么。对 XPASS 的用户来说，连接方式和设置说明在 My Pass 页面上，本文并不声称支持端口转发。

5. 反过来使用 VPN

与其开放端口，不如建立自己的私人网络。在家里架设一台 VPN 服务器，你就能从外部经过身份验证后连入家庭网络，访问需要的东西，而不必把任何东西公布给整个互联网。这是许多远程访问方案背后的思路，NIST 关于远程办公与远程访问安全的指南讨论了限制暴露面这一更广泛的原则。

开放端口的风险

开放的端口就是互联网上的一扇门。任何人，包括自动扫描工具，都可以来敲门。

• 自动扫描。 全网扫描工具会不断探测整个地址空间。新开放的端口通常在几小时内就会被发现，有时只需几分钟。
• 有漏洞的软件。 如果端口后面的服务存在尚未修复的缺陷，攻击者可能借此执行命令或读取数据。
• 薄弱的身份验证。 默认密码、短密码和完全不需要登录的服务很快就会被猜到。在可用的情况下，多因素验证帮助很大，可参考 CISA 的 More than a Password。
• 通往网络其余部分的入口。 网络中一台被攻破的设备，可能被用作跳板，进一步访问你的电脑、摄像头和文件。
• 数据暴露。 向互联网开放的远程桌面、文件共享和数据库，是最常被滥用的服务之一。
• 对 VPN 的虚假安全感。 VPN 不会让暴露的服务变得安全。如果开放端口后面的服务本身薄弱，VPN 并不会保护它。VPN 无法保护你的哪些方面这篇文章谈到了这类局限。

高风险与低风险的端口

服务类型	直接暴露的风险	更好的做法
远程桌面、文件共享、数据库	高	不要暴露；改为通过 VPN 连入家庭网络来访问
路由器和摄像头的管理页面	高	仅限内部使用
游戏服务器	中	保持软件更新；使用单独的设备；限制知道地址的人
自建网站服务	中	使用 HTTPS、及时更新、强登录凭据和多因素验证
点对点应用	中	保持应用更新；尽量在单独的设备上运行

访问自己设备的更安全方式

在开放端口之前，先问问自己是否真的需要。往往可以用其他方式达到同样的目的：

1. 用 VPN 连入家庭网络。 在家里或路由器上运行 VPN 服务器，从外部连接它。只有 VPN 的端口是暴露的，并由密钥或强凭据保护。
2. 中继或隧道服务。 有些工具让你的设备主动向外连接到一个中继，外部的人访问的是中继，而不是你的路由器。这样可以避免开放入站端口，但你必须信任这个中继。
3. 设备厂商内置的远程功能。 许多网络存储设备和摄像头提供托管的远程访问服务，你完全不用碰路由器。
4. 换一种方式分享文件。 如果目的是发送文件，云端分享链接或加密传输可能比自建服务更简单。
5. 谨慎使用分应用代理。 如果你需要某些应用走 VPN、另一些应用直接连接，分应用代理（Split Tunneling）让你自己选择，这会影响哪些应用可以被外部访问。

如果确实要开放端口，更安全的清单

• 只转发所需的那个确切端口，指向一台设备，不要转发整个范围。
• 把设备放在单独的网络或访客网络里，远离存有个人数据的电脑。
• 在开放任何东西之前，先更新服务和操作系统。
• 把默认密码换成又长又唯一的密码，并尽可能使用多因素验证。
• 不要直接暴露远程桌面、文件共享或数据库。
• 如果不需要，关闭路由器上的 UPnP，因为它允许软件在不询问你的情况下开放端口。
• 每隔几个月检查一下路由器的转发列表，清除旧规则。
• 查看日志，一旦发现异常，随时准备关闭规则。
• 在设备本身启用防火墙，作为第二道防线。

比较服务时要看什么

如果你搜索“支持端口转发的最佳 VPN”，会看到大多是营销性质的排行榜。与其追着名字跑，不如对任何服务问几个具体的问题：

• 服务是否明确说明提供端口转发？ 如果服务自己的文档里没有写，就不要想当然。
• 覆盖哪些设备和套餐，端口是如何分配的？ 固定、随机或会变动的端口，表现各不相同。
• 它是否适用于你打算使用的连接方式？ 有些功能只在特定的应用或连接方式上才有。
• 服务如何描述被转发端口的安全性？ 好的说明会谈到风险，而不只是好处。
• 有没有更简单的方案？ 如果你只是想访问自己的设备，一个连入家庭网络的 VPN 可能比任何服务商功能都更合适。

局限与注意事项

• 并非所有连接都能转发。 如果你的运营商使用运营商级 NAT，你可能根本没有可供转发的公网地址。
• VPN 服务器上的转发是共享的。 共享服务器地址上的端口对整个互联网开放，而不仅仅是你的朋友。
• 规则会变。 有些服务会更换端口，昨天还能用的游戏或应用，在地址变化之后可能就连不上你了。
• VPN 不是防火墙。 它加密并改变你流量的路径，但不能阻止针对你主动暴露的服务的攻击。
• 使用条款很重要。 有些服务限制托管或特定类型的流量。请阅读你所用的任何网络的条款，并遵守。

总结

端口转发是一条规则，让外部的人可以主动连接路由器后面的某一台设备。VPN 改变了公网地址归谁所有，因此也改变了转发的运作方式，甚至是否可行。日常使用 VPN 的大多数情况根本不需要转发。当你确实需要从外部访问时，连入自己网络的 VPN 通常比公开的开放端口更安全。如果你一定要开放端口，就尽量少暴露，保持软件更新，并用强身份验证保护它。

如果你正考虑用 VPN 在无法掌控的网络上做日常保护，价格页面说明了预付通行证如何运作，帮助中心则介绍了各类设备上的设置方法。