一、核心概念

VPN 端口映射（Port Forwarding）是一种通过 VPN 服务器将外部网络请求转发到内网特定设备或服务的技术，它常用于远程访问内网资源（如 NAS、摄像头、私有服务器等），或在绕过防火墙限制时发挥作用，以下是关键知识点和操作步骤：

1. VPN 的作用

   • 建立加密隧道,将设备连接到远程网络（如家庭/公司网络）。
   • 通过 VPN 访问内网资源时，需确保目标服务的端口能被外部请求访问。

2. 端口映射的意义

   • 将 VPN 服务器上的某个端口（如 TCP 3389）映射到内网设备的对应端口，实现远程访问（如远程桌面）。

常见场景

1. 访问家庭内网设备

   • 通过 VPN 连接家庭路由器后，将路由器的 8080 端口映射到内网 NAS 的 80 端口，实现外部访问 NAS 管理页面。

2. 绕过防火墙

   • 某些网络可能屏蔽特定服务（如 SSH 的 22 端口），通过 VPN 端口映射可改用其他端口（如 443）转发流量。

配置步骤（以 OpenVPN 为例）

VPN 服务器端配置

• 修改 OpenVPN 配置文件（server.conf）：

  # 启用端口转发（需内核支持）
  push "redirect-gateway def1 bypass-dhcp"
  push "dhcp-option DNS 8.8.8.8"

• 在服务器上设置 iptables 规则（Linux 示例）：

  # 允许流量转发
  sudo iptables -A FORWARD -i tun0 -j ACCEPT
  sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
  # 端口映射示例：将 VPN 服务器的 5000 端口映射到内网 192.168.1.100 的 3389 端口
  sudo iptables -t nat -A PREROUTING -p tcp --dport 5000 -j DNAT --to-destination 192.168.1.100:3389
  sudo iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 3389 -j ACCEPT

客户端连接

• 使用 OpenVPN 客户端连接服务器后，通过 vpn-server-ip:5000 即可访问内网的 168.1.100:3389 服务。

注意事项

1. 安全性

   • 仅映射必要的端口,避免暴露内网全部服务。
   • 结合防火墙（如 ufw/firewalld）限制访问 IP。

2. NAT 问题

   VPN 服务器位于 NAT 后（如家庭路由器），需在路由器上设置端口转发到 VPN 服务器的内网 IP。

3. 协议选择

   TCP 更适合稳定性要求高的场景（如远程桌面），UDP 适合低延迟需求（如游戏、视频）。

其他工具

• SoftEther VPN：提供图形化界面，支持简单端口映射。
• WireGuard：轻量级 VPN，需手动配置 iptables/nftables 规则。