为什么需要做端口转发？
家里装了监控摄像头、NAS 或者自建了网站服务器，但外面访问不了？问题很可能出在路由器的端口转发没设对。尤其是当设备不在主路由下，而是接在子网里（比如通过二级路由器或AP模式接入），情况更复杂。
举个例子：你把家里的录像机接在客厅的二级路由器上，而主路由在书房。这时候从公网访问主路由的某个端口，数据根本到不了录像机所在的子网，自然就打不开画面。
搞清楚你的网络结构
先确认设备是不是真的在“子网”里。常见的子网场景有：
- 设备通过另一台路由器上网（非桥接或AP模式）
- 使用多个路由器组网，IP段不同（比如主路由是192.168.1.x，二级是192.168.2.x）
如果设备和主路由在同一局域网（同一IP段），只是用交换机或AP扩展，那不算子网，直接在主路由设端口转发就行。
关键点：数据包要能层层传递
在子网环境下，端口转发不是只设一次就能成的。你得让流量从外网→主路由→二级路由→目标设备，每一步都通。
假设你要把外网访问主路由8080端口的请求，转给子网中IP为192.168.2.100的NAS，这台NAS开了Web服务（端口5000）。
操作步骤拆解
第一步：登录二级路由器（也就是接NAS这台），找到端口转发或虚拟服务器设置，添加规则：
外部端口：5000
内部IP：192.168.2.100
内部端口：5000
协议：TCP第二步：在主路由上设置转发，把8080指向二级路由器的IP（比如192.168.1.2）：
外部端口：8080
内部IP：192.168.1.2
内部端口：5000
协议：TCP这样，外网访问主路由公网IP:8080 → 主路由转给192.168.1.2:5000 → 二级路由收到后，再转给192.168.2.100:5000，最终通了。
别忘了检查这些细节
公网IP是不是动态的？建议搭配DDNS服务，不然IP一变就又连不上。很多路由器都支持花生壳这类服务，填个账号密码就行。
运营商封了80、443等常见端口？换个非常用端口，比如8081、9000，避免被拦截。
防火墙开着呢？有些设备系统自带防火墙会拦掉外来请求，记得放行对应端口。
测试能不能通，最简单的方法是在手机切到4G网络，用浏览器访问你设置的公网地址+端口，看能不能打开页面。
更省事的办法：改成交换机模式
如果你只是想扩展Wi-Fi覆盖，完全没必要用多层NAT。把二级路由器改成AP模式，或者干脆当交换机用，所有设备都在同一个子网里，主路由统一管理，端口转发直接配一次就行，省心还稳定。
说白了，子网下的端口转发就是“接力赛”，每一棒都得接住。只要理清路径，填对IP和端口，再难也跑得通。