电信光猫防火墙在哪里设置？端口映射、UPnP、DMZ都配了还连不上，先查这个开关

上个月帮表弟把群晖NAS开外网访问，路由器那头端口映射一条条填得整整齐齐，手机流量一测还是「连接超时」。他气得想恢复出厂设置。我让他先别动路由器，去光猫后台翻防火墙那一页，把等级从「高」降到「低」，保存，再测，端口通了。就这一步，折腾我俩大半个下午。

这事我后来在华为HS8145V5和中兴F7015T两台猫上各验了一遍，菜单叫法不完全一样，但逻辑是一回事：光猫防火墙站在最外面，端口映射、UPnP、DMZ都在它后面排着。前面这扇门不开，后面开再多小门也是白搭。

先说清楚防火墙挡在哪

家里是光猫拨号时，公网IP握在光猫手里，外面的请求先进光猫，再决定放不放给后面的路由器、NAS、摄像头。这个「先过一遍」的关卡就是光猫防火墙。它平时是好东西，扫描器扫你家的时候全靠它挡着；但你要从外面主动连进来，它也可能把正常请求一并拦了。

很多人只记得路由器里要开端口映射，忘了光猫这一层。路由器后台显示「已生效」，不代表公网真能打进来，因为路由器自己的WAN口拿的可能是192.168.2.x这种内网地址，真正的门在光猫身上。所以只要光猫在拨号，防火墙就得连同映射一起看。

怎么判断光猫有没有在拨号，我之前在192.168.2.1到底是光猫还是路由器里拆过，这里不重复。简单说，路由器WAN口IP是192.168.2.x，基本就是光猫拨号。

表弟当时就是两头都查了，路由器里端口转发状态写得明明白白，可光猫那台猫的WAN口才是公网地址。相当于小区门卫放行了，单元门还锁着。光猫路由模式下，映射最好做在光猫这一层；光猫改桥接以后，防火墙这事才跟着拨号权一起交到路由器手里，光猫后台那些端口功能就成摆设了。

所以别看见「已生效」三个字就放心，那只是路由器自己的记录。链路是一节一节通的，任何一节卡住，外面都进不来。

华为HS8145V5：路径和三个档位

这台猫我手里有一台，路径是浏览器进192.168.2.1，输useradmin那个贴纸账号，点「高级设置」，左边找「安全」，里面就有「防火墙」。不同固件会把「安全」写成「安全设置」，但认准这俩字一般不会错。

进去之后主要是三个档位。默认多数在「高」，这时候对外的陌生连接基本全拦，远程访问经常不通。要测端口映射、NAS外网、监控回放，先选「低」，它会放行常用服务，暴露面也还能接受。最下面那个「关闭」我劝你别图省事，等于让这台猫后面所有设备直接站到公网上，我表弟当时就想直接关，被我拦下来了。

改完记得点保存，有的固件保存后会断一下拨号或者重启防火墙模块，等十几秒再测。别刚点完保存就急着刷手机，猫自己还没反应过来。

中兴F7015T：认准「安全」两个字

中兴这台我是在朋友家调的，菜单比华为多绕一层。登录192.168.2.1后，有的固件在「安全」下直接有「防火墙」，有的藏在「应用」或者「高级设置」里，叫「防火墙」「防攻击」「过滤规则」都可能。你不用背全路径，进后台后挨个找带「安全」和「防火墙」字样的菜单，最像的那个就是。

中兴这边有些版本只给「开启」「关闭」两档，没有高低的中间态。这种情况先别急着关，可以先看路由器侧映射有没有生效，实在拦着再临时关掉测通，测完马上开回来。手里固件要是太老、连防火墙菜单都找不到，先去「管理」里看有没有固件升级，这步我之前在电信光猫固件怎么升级里写过。

还有一点，部分中兴猫把防火墙开关放在超级管理员才看得到的地方，普通useradmin进去是灰的。这时候先别为防火墙去折腾超密，我上一台机器就白折腾两小时，最后发现是端口映射自己填错了。

端口映射、UPnP、DMZ怎么跟它配合

这三个功能都在防火墙后面，但它们开门的方式不一样。端口映射是点名放行某个端口，规矩最死也最安全；UPnP是设备自己申请开哪个口，省事但有时候申请不到；DMZ是把一台设备整个丢出去，最危险。光猫这边如果防火墙等级太高，三个都会一起失灵，因为流量还没轮到它们就被拦了。

所以排查顺序别乱：先确认公网IP是真的，再查防火墙，最后才逐个看映射规则。表弟这次就是规则填对了，卡在防火墙。反过来，有些人把防火墙关了还是连不上，那是另一层的问题，比如公网IP是100.64开头的内网地址，这种情况跟防火墙一点关系没有，我在电信宽带怎么查自己有没有公网IP里说过。

我自己的习惯是先在电脑上开一个python -m http.server 8080临时网页，手机流量打公网IP:8080。通不通一眼就知道，不用等NAS那边的软件报错。这招比拿真实服务去试干净，至少能先把「链路不通」和「服务自己没起来」切开。

我踩的两个坑

第一个坑是拿家里WiFi测公网。路由器开了NAT回流，内网里敲公网地址也能通，看起来像成功了，出门用流量一测还是不行。测远程访问一定要把手机WiFi关掉，用流量打，别自己骗自己。

第二个坑是只关光猫防火墙，没看路由器防火墙。有些路由器自己也有一套SPI或者DoS防护，个别老机器把「DoS防护」开得太狠，也会把高频重连当攻击拦下来。这两层防火墙是各管各的，不是光猫一关就天下太平。

顺序我总结成一句：

另外别把「防火墙」和「上网时间控制」搞混。有些光猫安全页里一排功能排着，家长控制、MAC过滤、防火墙各是各的。要远程访问就只动防火墙，别的先别碰，不然可能连自家电视都跟着掉线。

• 手机流量测，先证明外网到你家门口是通的。
• 看WAN口IP，内网地址先解决公网IP。
• 光猫防火墙降到「低」再复测。
• 还不通，才轮到查路由器防火墙和映射规则。

收尾：别让设备一直裸奔

防火墙降级是为了排障，不是长期状态。测通之后，我的习惯是能改端口映射就改端口映射，然后把防火墙恢复到默认档位。真要长期用远程桌面、监控回放，也要给设备上强密码、把系统补丁打满，别指望光猫防火墙一个开关替你守全家。

最后按这个顺序走，基本不会乱：

这页开关不大，卡人倒是挺狠。下次端口映射死活不通，先别重启路由器，去光猫安全那页看一眼，说不定就省一个下午。