天翼网关端口映射怎么设置？useradmin里没这入口，我为了远程连NAS翻了两层后台

上个月出差，晚上想在酒店连家里NAS下个文件，APP转了半天圈连不上。家里那台小米路由器上端口转发我明明配好了，规则检查了三遍没毛病。折腾到十一点才反应过来——问题压根不在路由器，在它前面的电信光猫。光猫是路由模式，公网IP其实在光猫手上，我在路由器上开的门，开的是「光猫内网」的门，外网的包走到光猫就被拦下了。想让外面的流量进家门，得在光猫上做端口映射。这篇就把我在天翼网关上翻两层后台的全过程记下来。

先说清楚：为什么要在光猫上映射，两条路的取舍

现在的电信光猫出厂基本都是路由模式，拨号是光猫在拨，公网IP（如果你有的话）也是挂在光猫WAN口上。你自己的路由器接在光猫LAN口下面，拿到的只是光猫分给它的一个内网地址。

这就形成两层门禁：外层的门在光猫上，内层的门在路由器上。你在路由器上配端口转发，只开了内层的门，外层一直锁着，流量根本走不到路由器那一步。

解法两条路。一条是光猫改桥接，让路由器直接拨号拿公网IP，以后映射都在路由器上做，一劳永逸，但动的是WAN连接模式，IPTV和固话容易受牵连，我改桥接翻车救IPTV那晚的记录还留着。另一条就是本篇的主角：光猫不改，在光猫后台给自己路由器的地址配一条端口映射，变成「双层转发」。能用，代价是以后每加一条规则要改两处（光猫一处、路由器一处），规则多了容易乱。怕麻烦、设备多的建议直接走桥接；只有一两台设备要暴露、不想动桥接的，光猫映射够用。

第一层门：useradmin进去，翻遍菜单没有端口映射

我一开始以为挺简单，光猫背面贴纸上有账号，输进去登了192.168.2.1后台。我家光猫是华为HS8145V5，普通账号就是贴纸上那个useradmin开头的，一机一码。

进去傻眼了。左边菜单就那么几项：状态、网络、WLAN、安全、管理。我把每一项点开翻了一遍，没有端口映射，没有NAT，没有虚拟服务器，连个「应用」菜单都没有。一开始以为是固件太老，重启光猫再进去还是那些菜单。

后来才明白不是菜单藏得深，是权限被裁掉了。电信把后台账号分两档，useradmin这档普通账号只能干「表面设置」：改WiFi名字密码、看连接设备、重启。端口映射这种要动转发规则的操作，在超管账号那一档。所以你要是也卡在这一步，别再翻菜单了，不是你眼神不好，是这层后台压根没给你这个功能。

顺带一提，有少数型号（我见过贝尔的一台机器）useradmin进去在「应用」里有个简化的DMZ设置，能直接把路由器地址填进去，算半个后门。但DMZ等于全端口裸奔，摄像头这种弱密码设备千万别这么暴露，端口转发和DMZ的区别我之前专门写过，这里不展开。

第二层门：拿telecomadmin超管密码，路径藏在应用里

想上端口映射，必须登超管账号。电信定制机的超管账号是telecomadmin，密码不印在贴纸上，是装维师傅装机时写进去的。怎么把它要到手，我打10000号的话术和踩的坑单独写过一篇，这里只说一句：打客服电话，说「家里装了自己的路由器要做端口转发和远程监控」，要比说「我想折腾光猫」通过率高得多。我是让装维师傅远程帮改的时候顺便要到密码的，没花钱。

拿到密码重新登192.168.2.1，账号换成telecomadmin。进去第一眼就能看出不一样，左边菜单多出一大片：系统工具、安全、WAN连接、还有之前没有的「应用」。端口映射就藏在应用里，不同型号叫法略有差别：

界面长得朴素，就是个表格加「新增」按钮，别被吓到，要填的东西不多。

四步把映射配好，三格填错全白搭

点新增，弹出来的表单里有几个格子，每个都有讲究，我第一趟就填错两处。

第一步，WAN连接名称选对。下拉框里有一串连接，像「1_INTERNET_R_VID_4634」「2_OTHER_B_VID_45」这种。认准带INTERNET字样、末尾是R（路由模式）的那条选上。VID后面的数字每家不一样，不用管具体是几。千万别手滑选到IPTV或者VOIP那条，那是电视和固话的通道，映射挂上去电视直接花屏。

第二步，协议。挂网页服务选TCP，不确定就选TCP/UDP全协议，家用场景没必要抠这个。

第三步，起始/终止外部端口。这是外网访问用的门牌号。别用80和443，家宽这两个端口基本都封了，我第一趟就填的8080，后来发现部分地区连8080也在封禁名单，干脆用18080这种高位端口，稳。

第四步，内部IP和内部端口。内部IP填流量最终要去的设备地址——光猫下面直接挂NAS的就填NAS的IP；像我这种光猫下面还有路由器的，这里填路由器WAN口的地址（在光猫的设备列表里能看到），再由路由器把流量转给NAS。内部端口填服务本身的端口，我NAS的网页管理端口是8080。

保存之后部分机型要重启光猫才生效，我那台HS8145V5是直接生效的。配完先别急着出门测，拿手机流量（注意，一定关掉WiFi用流量，不然测的还是内网）访问一下试试，通了再收工。

配好了还是连不上？三个坑挨个排

映射规则加了还是不通，先别怀疑人生，九成是下面三个坑之一。

坑一：你家压根没有公网IP。这是最常见也最致命的。现在电信家宽很多默认塞在CGNAT后面，光猫WAN口拿到的是100.64开头的共享地址，这种情况下你映射配得再对也没用，门开在别人家的墙上。查法很简单：光猫后台看WAN口IP，再用手机流量搜「本机IP」，两个数字对不上、且WAN口是100.64到100.127之间的，就是CGNAT。解法是打10000号报「家里有存储设备要远程访问」申请公网IP，免费的，我办过全流程。

坑二：ITMS半夜把规则推没了。今天能连，过两天又连不上，登后台一看映射规则整条消失——这是电信的远程管理平台ITMS干的，它存着你这台光猫的标准配置，发现本地改动了会半夜推一份「正确配置」下来覆盖。端口映射和桥接一样属于高危改动项，被推回的概率不低。我摸过的应对法子和删TR-069的取舍都写在ITMS那篇里，这里提醒一句就够：映射规则突然消失，先想到它。

坑三：设备IP变了，映射指向空地址。内部IP那一格是写死的，设备要是DHCP重新分了地址，映射还指着老地址，包进去找不到人。所以映射之前，先把要暴露的设备在路由器上做DHCP静态分配（或者设备自己设固定IP），这一步的完整做法在静态IP绑定那篇里。我的NAS从做好绑定起两年没变过地址。

光猫映射还是改桥接？对号入座

最后把这两条路怎么选说明白，别为了一扇门把整个墙拆了重砌：

远程访问这件事，DDNS、内网穿透、IPv6三条路线各自适合什么人，我在NAS远程访问那篇里对比过，端口映射只是其中一条路的地基。

顺序总结：先用手机流量确认外网确实连不上 → 登光猫查WAN口IP排除CGNAT（100.64开头先打10000号要公网IP）→ 要telecomadmin密码 → 应用里加映射，外部端口用高位，WAN连接认准INTERNET那条 → 给设备绑静态IP → 手机流量实测。通了以后把规则截图存一份，哪天连不上先对着查，十有八九是ITMS推回或者IP漂移这两老家伙。