水星腾达路由器DMZ主机在哪里设置？端口映射配不通，我最后只暴露一台旧电脑

上个月我想在公司用手机连家里那台旧电脑打串流，Moonlight那一堆端口在路由器上填得我头大，一条条加进去，外面还是连不上。后来我把水星D191G切到DMZ主机，只填了192.168.0.50一个地址，手机流量一测直接通了。这事让我把DMZ这个一直没碰的开关认真搞了一遍。

先说结论：DMZ不是玄学，它就是把一台内网设备的所有端口一次性暴露到公网。省事是真省事，危险也是真危险。这篇写水星和腾达两条后台路径，顺便把我踩的两个坑讲明白。后来我又在邻居家腾达AC10上原样配过一次，两家的开关都叫DMZ主机，只是菜单位置不一样，所以我就拿手头这两台机器分开写。

先说清楚DMZ主机是干嘛的

路由器默认是一堵墙，外面来的数据包没有匹配的规则就丢掉。端口转发是墙上开一扇指定的门，比如你把3389指向书房电脑，那外面只有敲3389的包能进来。DMZ主机不一样，它是把这堵墙对某一台设备拆掉，从1到65535所有端口都往这台机器送，不管外头敲哪个门。

代价也很直接：这台设备等于光着身子站到公网上。扫描器看到什么端口就试什么，设备自己的防火墙和密码要是没跟上，很容易出事。所以我只把DMZ给那些说不清要哪些端口的设备用。就拿我这次弄的Moonlight来说，光TCP就牵扯47984、47989、48010几个口，UDP还有47998、47999、48000、48002、48010一串，水星老后台逐条填规则特别费劲，这时候用DMZ先测通就合适。NAS、监控这类能明确端口的，还是老老实实做端口映射，别偷这个懒。

这两者的关系我最早是在端口转发和DMZ到底有啥区别里弄懂的。简单记一句：端口转发是一扇门一扇门开，DMZ是把整面墙拆了。

水星D191G：藏在高级用户里

我手头这台水星D191G走的是新界面。浏览器输melogin.cn，登录后右上角先点「高级设置」，左侧菜单往下拉，找到「高级用户」点开，里面并排躺着虚拟服务器、DMZ主机、UPnP三个入口。我第一次就是卡在这里，老想找“转发规则”，翻半天没有。

点进「DMZ主机」后，先把上面的开关拨到ON，再在「DMZ主机IP地址」填设备IP，比如我串流电脑是192.168.0.50，最后点保存。旧一点的水星界面是另一套路：登录后直接找「转发规则」，里面有个「DMZ主机」，把DMZ状态选启用，填完IP再保存。所以别拿一张老截图死磕新后台，两代菜单位置本来就不一样。

这里要注意，DMZ一次只能填一台设备。你要是填了192.168.0.50，这台机器之外的其他设备还是被墙挡着，不会跟着一起裸奔。

腾达AC10：更多功能里那个DMZ主机

腾达我拿的是AC10，tendawifi.com登录后点「更多功能」，再点「高级设置」，下面就有「DMZ主机」。开关打开，填「主机IP地址」，确认就行。这路径跟水星不一样，但好在腾达写得比较直白，没有改名字。

我邻居家一台AX12我也顺手点过一次，入口大同小异，都在更多功能或高级设置下面，认准「DMZ主机」四个字就行。如果你连tendawifi.com都进不去，先把登录入口排一遍，我在192.168.0.1打不开进不去里写过的几个乌龙，八成能找到原因。

腾达老固件里也有把DMZ放在「虚拟服务器」附近的版本，但菜单名基本没跑，就叫DMZ主机。真的没有的话，先升级固件，有些老固件把这功能藏得更深。

开之前先把两件事做完

DMZ填的是内网IP，这个IP必须固定。因为路由器重启、设备重新联网，DHCP有可能把地址换掉。你今天把192.168.0.50丢进DMZ，明天那台电脑变成192.168.0.101，DMZ就指向一个空地址了。

固定IP最稳的办法是在路由器里做静态分配，把设备MAC和IP绑一起。水星腾达的绑定步骤，我在水星腾达路由器怎么给设备固定IP里写得比较细，先把这步做完，再回来开DMZ。别用设备自己填静态IP的办法，手机和平板不让你填，换WiFi后还容易跟别人撞。

第二件事是看你的公网IP到底真不真。进路由器运行状态，看WAN口IP，再用手机流量打开百度搜“IP”看显示的公网地址，两边对一下。WAN口IP如果是100.64开头、10开头、192.168开头或者172.16到172.31开头，说明运营商把你放在大内网里，DMZ开得再对，外网也找不到你家。这种情况要么找运营商申请公网IPv4，要么换IPv6或内网穿透，不是路由器设置能救的。

我踩的两个坑，新手最容易卡

第一个坑是内网测试总通，外网测试永远失败。我一开始用家里WiFi访问公网IP加端口，看起来通了就高兴，结果到了公司还是连不上。后来才明白，很多路由器默认开了NAT回流，自家网络里测公网地址也能绕回来，这只说明内网链路是好的，不代表外网真能进来。测DMZ一定要把手机WiFi关掉，用流量测。

第二个坑是光猫没桥接，等于套了两层路由。你路由器WAN口如果拿的是192.168.1.x这种内网地址，说明光猫在拨号，DMZ只暴露到光猫那层，外网还是进不来。这个要么进光猫再做一次映射或DMZ，要么直接把光猫改桥接，让路由器拨号。两层转发配起来麻烦，家用最好一步到位改桥接。

• 内网测试用流量，别用自家WiFi。
• WAN口IP是内网地址，先处理光猫。
• WAN口IP是100.64这类地址，别折腾，运营商没给公网IP。

开完赶紧做收尾，别让设备一直裸奔

DMZ是拿来测问题和临时用的，不是让主力机长年住在里面的。我测通Moonlight串流后，还是把DMZ关了，回去老老实实把串流要的几个端口做映射。因为那台旧电脑没怎么打补丁，长时间全端口暴露，我心里不踏实。

如果有些设备真的只能靠DMZ，那至少做三件事：给设备设强密码、系统补丁打满、路由器里只留DMZ这一条对外规则。游戏机这种没有远程桌面入口的设备相对安全一点，Windows旧电脑、NAS、监控录像机就别图省事。

端口映射和DMZ到底怎么选，我给你一张表收尾。

最后按这个顺序走：固定IP、查公网IP、处理光猫、开DMZ测通、测完关掉或收紧成端口映射。别让一台设备在公网上裸奔过夜，更别把开了DMZ的旧电脑一直挂在路由器上，这是我这次折腾下来的最大教训。