VPN 端口转发：好处与风险

你在网上做的大多数事情都是出站的：设备向网站请求页面，答复沿同一条连接返回。端口转发则不同：它允许互联网上的陌生人主动向你的设备发起连接。人们询问如何通过 VPN 转发端口时，通常有正当理由，比如开一局游戏、使用在入站连接下表现更好的文件共享客户端，或者访问家里的服务器。而同样的功能，也是最快制造安全问题的方式之一。

本文从风险的角度看通过 VPN 做端口转发：好处到底是什么、它暴露了什么、攻击者如何发现开放端口，以及如何把暴露面控制得很小。端口转发的基本定义以及它和 VPN 的配合方式，见 VPN 端口转发详解；家用路由器上的设置见 路由器端口转发与 VPN。本文不重复这些内容，而是讨论该不该冒险、怎样冒险。

转发的端口做了什么

端口是设备上带编号的门。服务在特定端口上监听：网页服务器在 80 和 443，远程桌面在 3389，等等。通常，家庭网络位于做网络地址转换（NAT）的路由器之后。出站连接会被跟踪，而没人请求的入站连接会被丢弃，因为路由器不知道该交给哪台设备。

端口转发增加了一条规则：“凡是到达公网地址端口 X 的流量，都转交给设备 Y 的端口 Z”。于是互联网上未经请求的连接，会有意地到达那台设备。

使用 VPN 时，公网地址属于 VPN 服务器，而不是你家的路由器。由 VPN 服务一侧的防火墙决定谁能访问到你。有些服务商提供把选定的一个端口转发到你隧道地址的功能，也有很多不提供。如果不提供，应用可能退回到只用出站连接，这对多数用途已经够用。本文属于一般性说明，并不描述任何特定服务商。

真正的好处

转发端口解决的是一小类问题。

• 做主机。 在你自己的电脑上开游戏房间、小型网页服务或语音聊天服务器，需要入站连接。
• 点对点工具。 一些文件共享与同步应用，在别人能直接联系到你时连接更稳定。合法用途包括在你自己的设备之间共享自己的文件，或共享开放授权的资料。
• 远程访问自己的设备。 家里的摄像头、媒体服务器或 NAS，可以通过转发的端口从外部访问。
• 绕过双重 NAT 或运营商级 NAT 造成的限制。 如果你的家庭宽带位于运营商共享地址之后，没有帮助就无法接受入站连接。这种情况如何运作，见 VPN 与 CGNAT。
• 改善游戏的连接类型。 一些在线游戏会根据入站连接是否可用，报告“开放”或“严格”的连接类型。VPN 与 NAT 类型 一文解释了其影响。

好处总是针对某一个具体应用。如果你说不出哪个应用需要这个端口，那你就不需要它。

它暴露了什么

转发端口意味着：该端口背后的服务，现在可被互联网上的任何计算机访问，而不仅仅是你。这在几个方面改变了安全格局。

暴露项	含义
扫描	端口开放后几分钟内，自动化工具就会扫遍整个互联网来找开放的端口
已知漏洞	过时的服务可能存在已公开的漏洞，扫描器会专门测试
弱密码	如果服务带有登录，机器人会尝试常见密码
信息泄漏	服务横幅和错误页面可能暴露软件及版本
拒绝服务	任何人都可以用连接请求淹没开放的端口
立足点	被攻陷的服务可能成为进入家庭网络其他设备的第一步
设备身份	服务可能透露其背后那台机器的细节

最后两项是人们常常忘记的。VPN 保护的是你主动发起的出站连接的流量，却不保护你有意向全世界敞开的服务。对于一个存在漏洞、对任何访客都做出响应的程序，隧道无能为力。

风险比较：关键在于你开放的是什么

并非所有服务的风险都一样。大致可以这样看：

端口背后的服务	一般风险等级	说明
来自受维护软件包的游戏服务器	中等	保持更新，限制管理功能
文件共享客户端	中等	向对等方暴露你共享的文件和活动规律
提供静态页面的网页服务器	中到高	取决于软件和更新情况
媒体服务器或摄像头	高	常带有薄弱的默认设置，很少获得补丁
远程桌面	非常高	密码猜测与漏洞利用的常见目标，应避免直接暴露
数据库或管理面板	非常高	几乎不应向整个互联网开放

如果某个服务在“非常高”之列，就不要转发它的端口。改用安全的远程访问方式，例如先连入一个私有网络，再访问里面的服务。

如何降低风险

几条简短的控制措施就能解决大部分问题。

1. 尽可能少转发。 一个端口，一个服务，一台设备。避免使用大范围的端口段。
2. 使用专门且已更新的服务。 开放端口前先安装更新。如果更新已停止多年，就不要暴露它。
3. 强且唯一的凭据。 使用长密码，并在服务支持时启用双重验证。若不熟悉，请读 什么是双重验证。
4. 隔离设备。 把被转发的设备放在独立的网段或访客网络中，即使被攻破，也碰不到家人的笔记本和手机。
5. 以低权限运行。 服务不应以管理员或 root 身份运行。
6. 启用设备上的防火墙。 只允许那一个端口入站，其余全部阻止。参见 VPN 与杀毒软件、防火墙的区别。
7. 不用就关。 只开一个晚上的端口，风险远小于开一整年。
8. 查看日志。 反复的登录失败或异常连接，说明有人在探测。
9. 从外部测试。 在另一个网络上检查，只有预期的端口可达。

开放端口前后的简单检查

把开放端口看作在房子上开一扇窗：先看清楚，事后再检查。

开放之前。 记下应用名称、端口号、协议（TCP 还是 UDP）以及接收流量的设备。确认该设备有固定的本地地址，因为转发规则指向的地址如果之后变了，流量就会被送到错误的机器上。家庭网络使用的保留私有地址段，在 RFC 1918 中有说明。更新软件，并修改所有默认密码。提前决定什么时候关闭端口，并把这个日期写进日历。

开放之后。 在另一个网络（例如移动数据）上确认你开放的那个端口可达，而其他端口都没有响应。第一天留意应用日志。任何开放端口都会遇到来自陌生地址的连接尝试，这很正常，并不表示你被盯上了；但反复的登录失败，就该换更强的密码，或者直接关闭端口。

收尾清理。 任务结束后，要删掉转发规则，而不只是关掉应用。留下的规则以后可能指向另一个恰好监听同一端口的程序，暴露就会在无人察觉的情况下重新出现。

还要记住：在许多设置里，转发的端口只涉及 IPv4。如果你的设备同时有 IPv6 地址，该地址的防火墙规则是另外一套，需要单独审查。让 IPv6 门户大开，是常见的疏忽。

不必开放端口的替代方案

通常有更安全的途径可以达到同样的目的。

• 只用出站连接。 多数浏览、串流和聊天都不需要任何转发端口。
• 应用内置的中继或会合服务。 许多游戏和同步工具通过协调服务器连接，双方都无需开放端口。
• 私有网络。 想访问自己家里的服务器，可以在你自己的设备之间组建私有网络。思路见 Mesh VPN 工具。没有任何东西暴露在开放的互联网上。
• 在家搭一个 VPN 服务端。 如果需要访问家庭网络，运行自己的 VPN 入口只暴露一个加固过的端口，就能访问其后的一切，而不是分别暴露许多服务。
• 零信任访问。 一些组织用“按应用做身份校验”的访问方式取代开放端口。NIST 的零信任架构文件对这一概念作了说明。

三个场景

游戏主机。 小丕想让朋友加入她电脑上的小型游戏服务器。她为一个服务器程序只开放一个端口，安装了最新更新，设置了管理员密码，并在晚上结束时关闭端口。这台电脑上没有个人文档，并且放在访客网络里。即便服务器被攻陷，损失也很小。

家里的摄像头。 阿柴把端口转发给摄像头，以便在公司查看。摄像头三年没更新固件，还在用默认密码。这是高风险。更好的做法是通过到家庭网络的私有连接访问摄像头，或使用厂商持续更新的云功能，并且不让摄像头暴露在开放的互联网上。

文件共享客户端。 小满用一个客户端获取开放授权的资料，并设置了转发端口来提高传输速度。该客户端按设计会向对等方透露她的活动规律，VPN 对此没有改变。她接受这一点，保持客户端更新，并用一个无法访问她文档的独立用户账号来运行。她还会核对所共享内容的条款，因为 VPN 并不会改变什么是被允许的。

应避免的错误

• “以防万一”转发了端口，然后忘了它。
• 对端口背后的服务使用默认密码。
• 转发到主力笔记本，而不是单独的设备。
• 以为 VPN 保护了被暴露的服务。
• 以为开放的端口是隐形的，因为没人知道你的地址。
• 从不从外部测试。

总结

通过 VPN 做端口转发，让外界可以主动向你的某台设备发起连接，对于做主机、某些点对点工具以及远程访问自己的设备很有用。但它也把端口背后的一切暴露给整个互联网，而扫描器很快就能发现。VPN 并不保护那个服务。请把一个端口转发到一台隔离设备上的一个已更新服务，使用强凭据，用完即关，并尽可能优先选择私有网络或只用出站连接。

如果你需要的是日常出站保护的 VPN，可以在 价格页面 查看预付选项；至于端口转发，只有在某个具体应用确实需要时才值得去了解。