外部要访问公司系统：公网固定 IP、端口映射与内网互联怎么选？
作者：微恩云
先确认访问者是谁、系统在哪里，再决定是否需要公网入站。 公网固定 IP 是地址条件，端口映射是转发方式，内网互联是受控访问路径，三者并不处在同一层，也不是买其中一个就自动拥有全部能力。
本文讨论外部主动访问公司内部系统。如果是公司访问合作方，对方要求来源 IP 白名单，请看固定出口与白名单确认指南，不要把两个方向混为一谈。
用访问者与系统位置，先缩小方案范围
| 谁访问、系统在哪 | 优先评估的方式 | 关键条件 |
|---|---|---|
| 两个受管理办公点，系统在总部 | 站点间内网互联，只允许指定业务 | 两端设备、路由、网段、权限与现场接入 |
| 员工在家或出差，访问内部应用 | 受控远程接入或应用访问方案 | 用户身份、终端管理、并发和客户端兼容 |
| 固定合作方服务器调用公司接口 | 按约定开放的公网接口，或双方支持的私有互联 | 协议端口、来源限制、身份验证、证书与回程 |
| 不固定的公众用户访问业务网站 | 专门设计的公网服务承载或发布方式 | 访问规模、应用安全、可用性与适用的部署要求 |
| 系统实际在云端/SaaS | 检查云端网络与平台访问能力 | 办公室端口映射可能与该路径无关 |
对内部 ERP、文件共享或管理后台，先看访问者能否经过受控接入，再决定是否开放公网。应按业务允许访问到具体应用，而不是默认让外部终端进入整个办公网。
公网固定 IP：先问地址交付到哪里
有固定公网地址，并不保证外部请求能到达公司服务器。地址可能直接交付到现场接口，也可能位于服务方出口，通过隧道或映射转发到现场。要把外部请求到地址、地址到内部服务、服务响应返回的整条路径画清楚。
运营商级 NAT、上级路由、重复 NAT、防火墙、端口限制和协议支持，都可能影响入站。路由器 WAN 口看到一个地址不代表企业就拥有可控的公网入站；动态域名只能更新域名指向，也不能绕过 NAT 或防火墙限制。
IPv6 场景还要核对访问双方是否具备 IPv6 连通能力、前缀是否稳定和防火墙策略，不能把 IPv4 端口映射的步骤直接套上去。公网地址稳定解决的是寻址问题，不能替代应用与访问控制配置。
端口映射：只转发约定服务，还要验证回程
端口映射通常把某个外部地址与端口转到内部主机的指定端口。外部端口号和内部端口号不一定相同，但 TCP、UDP、应用握手和返回路径必须匹配。支持某个 TCP 服务，不证明 UDP、需要多端口协商或其他特殊协议也能工作。
| 配置项目 | 需要共同确认的内容 |
|---|---|
| 外部入口 | 域名/IP、协议、外部端口、是否限制来源 |
| 内部服务 | 固定的内网地址、监听端口、主机防火墙与应用状态 |
| 转发链路 | 每层 NAT 或隧道由谁管理，是否保留来源地址 |
| 回程路径 | 服务响应是否经正确网关返回，是否出现非对称路径 |
| 应用条件 | 域名、证书、认证、回调地址、长连接及附加端口 |
| 日志与维护 | 哪一层留访问记录，地址或主机迁移后谁更新 |
不要为省配置直接开放整台主机或大段无关端口。外网访问测试使用明确的测试账号和指定服务；不需要访问的来源和服务应有拒绝证据。端口号改成不常见的数字，不能替代身份验证和权限限制。
内网互联：适合明确的企业访问关系
如果访问双方都是受管理的办公点，可评估国内 SD-WAN 异地组网，让指定网段或终端通过约定路径访问总部应用。根据具体方案，接入公网的要求可能不同，不能笼统说任何 NAT 环境都能自动打通。
内网互联仍需要地址规划。两地都使用相同网段时，应在实施前处理冲突；同时确定路由、访问列表、DNS 与日志。只需访问 ERP 的分支不应默认获得数据库管理、备份和其他办公终端的权限。
对于居家或出差员工，还要考虑个人身份、多因素验证、终端可信与离职撤权。这与两个固定站点的互联管理不同，不能只靠“已连进内网”判断访问安全。
按三个层次验收：路径、应用、边界
公网入站应从独立外部网络访问指定域名与服务，记录测试时间、来源、协议、端口和结果。公司内网访问自己的公网域名，可能经过回环 NAT 或分流 DNS，不能代替外网验证。ping 成功也不能证明业务端口或应用正常。
内网互联则从授权分支或受控远程终端发起，核对实际路由与允许范围；它本来就不需要向任意外网开放。两类方案都要完成登录、查询及经过许可的测试提交，核对应用日志与返回路径。
| 验收记录 | 填写内容 |
|---|---|
| 允许访问 | 指定用户/来源、系统、操作、结果与日志编号 |
| 不允许访问 | 未授权来源或无关服务的拒绝结果 |
| 稳定与恢复 | 获准窗口内重连/切换后的地址、会话与业务恢复 |
| 应用依赖 | 域名、证书、回调、多端口或外设相关验证 |
| 交接 | 配置备份、责任人、变更流程与回退方案 |
比费用，要把路径两端的工作都算进去
公网方案应列地址或入口服务、现场线路、设备、通道/转发、带宽流量、证书与应用部署维护等实际需要的项目。内网互联应列两端设备或客户端、站点/用户授权、接入线路、地址改造、实施和运维。哪些由现有资源提供、哪些新增，要在报价里写清。
共同比较 12 个月或 36 个月费用、服务范围和故障责任。若价格便宜但未包含内部服务器配置、应用配合或地址迁移，企业还需要另行承担。可配合固定 IP 八项报价表核对入口条件。
微恩云提供支持入站与出站的电信独享固定 IP，以及国内企业组网服务。具体协议、端口、地址归属、带宽和接入条件以方案确认为准。通过服务咨询入口提供“谁从哪里访问哪套系统”，可以先判断需要公网入口、受控内网路径，还是两种方式按业务分别配置。