小米路由器端口转发怎么设置？192.168.31.1高级设置里加规则，外网连不上先查WAN口IP

前阵子我在旧笔记本上装了个Jellyfin，想在上班路上用手机看看家里硬盘里的剧。路由器是小米AX3000T，内网一切正常，笔记本的5005端口在局域网里用192.168.31.66能打开；可一到外网，用公网IP加5005就是转圈。我一开始以为端口转发就是点个开关的事，结果翻完米家App、手机网页版、电脑版后台，绕了半晚上才把规则添对。今天就把它从入口到排查完整说一遍。

先说清楚：什么时候才需要端口转发

家里所有设备出门之后，对外只显示一个公网IP，这个IP先落在路由器WAN口上。外面主动敲门时，路由器不知道要把门后这间屋指给哪台设备，所以默认全挡。端口转发就是把一句话告诉路由器：外部端口5005来的请求，转到内网192.168.31.66这台机器的5005端口。

我自己碰到过的场景主要有这么几类：Jellyfin、飞牛NAS这类影音文件服务，摄像头和门铃，偶尔跑一个Minecraft服务端给表弟联机。它的共同点是，我要在「外面」主动发起访问。刷网页、看视频这些家里设备自己往外连的操作，不需要端口转发；宽带下行速度、WiFi卡顿也跟它没关系，别一慢就去加规则。

另一个常见误会是外网访问NAS只能靠端口转发。其实如果两家都支持，走厂商自带的中继或者VPN也可以，比如飞牛、群晖都有一键外网，缺点是有时候慢或者走中转。端口转发适合已经有公网IP、想把速度跑满的场景，前提是公网IP真能落到你家路由器。这个话题后面单独说。

入口在哪：192.168.31.1的高级设置，不是米家App

这一步我当时就卡了十分钟。米家App里翻遍路由器工具箱，只有防蹭网、限速、儿童模式这些，没有端口转发；手机浏览器进192.168.31.1，出来的又是简化版，左侧菜单也看不到。后来换了电脑，浏览器输192.168.31.1，进常用设置之后再点高级设置，端口转发就躺在那里。

顺序大致是：电脑连上小米路由器的WiFi或网线，浏览器打开192.168.31.1，找到高级设置，找到端口转发。手头如果没有电脑，手机浏览器也能凑合，但要手动点「访问网页版」或者把浏览器设置成桌面版网页，不然看到的是缩水菜单。我写过的小米路由器手机怎么登录192.168.31.1里提过这个区别，这里不再啰嗦。

进到端口转发页面后，点「添加规则」或者「添加端口转发规则」。我手上AX3000T当时是空列表，点添加后弹出一排输入框：规则名称、协议、外部端口、内部IP地址、内部端口。不同固件字眼可能有一两个字的差别，但核心就是这五样。填完别直接关页面，页面最下面还有个「保存并生效」，少点这个等于没存。

有一点要先提醒：如果你连192.168.31.1都打不开，先把路由器后台本身弄通，端口转发是更后一步的事。可以看小米路由器192.168.31.1打不开进不去怎么办，先按那篇排查，不然规则页也进不去。

四个字段怎么填：外部端口和内部端口别填反

添加规则时，名字随便起，自己能看懂就行，比如「Jellyfin5005」。协议一般先选TCP，如果服务说明里同时要TCP和UDP，就选「TCP+UDP」。很多网页服务只走TCP，选大了没有好处，反而把不需要的UDP也放开。

真正容易错的是外部端口和内部端口。外部端口是外面敲门用的号码，内部端口是你设备实际监听的号码。像Jellyfin，我为了好记想让外网也用8096，外部端口就填8096，内部IP填192.168.31.66，内部端口还填8096。两边数字一样时确实不会错，但如果你外面不想用8096，改成比如18096，那就要看清楚：外部端口18096，内部端口8096，不能顺手都写18096。

我踩过的坑更典型：给摄像头做转发时，把内部IP写成了路由器的192.168.31.1，结果怎么测都不通。规则没有报错，它只是忠实地把包丢给路由器自己，而路由器上根本没有对应服务。所以填IP之前，一定要先确认那台设备的IP，而不是凭印象填网关地址。

端口范围转发也是一样道理。下载工具、监控录像机有时要连续开一段端口，比如8000到8010，页面如果支持范围，就外部范围对应内部范围。内部IP同样只填那台设备。别把一段端口分给两台设备，路由器只会按规则顺序匹配，实际效果经常是后面一条不生效。

设置完外网还是连不上：先查WAN口IP，再走这四步

我第一晚的问题就出在这里。规则填得没错，但用手机流量访问公网IP：5005，始终连不上。先别怀疑规则写错，按这个顺序排：

第一步，先在内网用IP加端口访问那台设备。同一台路由器下，另一台手机或电脑访问192.168.31.66:5005，如果能打开，说明服务本身没挂；如果局域网都打不开，那问题在服务、防火墙或者端口本身，和端口转发无关。Windows、飞牛、群晖都可能自带防火墙，先确认内网能通，外网才谈得上转发。

第二步，看路由器的WAN口IP。进192.168.31.1，找上网设置、网络状态或者首页的「外网IP」，把看到的地址记下来。再开手机流量访问ip.cn或者搜索「我的IP」，对比两者。如果路由器WAN口IP是192.168.开头、10.开头、100.64到100.127开头，或者172.16到172.31开头，而ip.cn显示的是别的地址，说明公网IP没落到小米路由器，而是被上一级光猫或运营商NAT了一层。

这种情况最常见的就是光猫还在拨号、路由器变成了二级路由，或者运营商给的是大内网IP。单靠小米路由器端口转发救不了，要在光猫上把对应端口也转一次，或者找运营商要公网IP/改桥接。双重NAT这件事我单独写过双重NAT是什么意思，改桥接的坑也值得先扫一眼，不然转两层都白配。

第三步，用手机流量测，别用家里的WiFi测。有些路由器不支持NAT回流，也就是从内网用公网IP访问自己，会被当成环回拦掉。我当初在家连着WiFi测不通，一度以为规则全错；后来切到手机流量，一次就通。这个坑的原理和判断在端口转发在家测不通、出门用流量就通里写过，可以先记住一句：验证外网，拿流量验证。

第四步，确认内网设备的IP没变。路由器重启、设备重连后，DHCP可能重新分IP，昨天的192.168.31.66今天可能变成192.168.31.70，规则里的老IP自然找不到人。最好的办法是给这台设备做静态分配或IP绑定，让MAC地址固定对应一个内网IP。小米后台可以翻局域网设置、DHCP静态分配这类入口，不同固件名字略有差别，找不到就先记设备MAC，重启后再对一遍IP。

端口转发、UPnP、DMZ别一起开

折腾的那晚我一度想偷懒，把DMZ打开算了。后来查了才知道，DMZ是把外部没匹配到的流量全丢给一台内网设备，相当于这台设备完全暴露在公网，端口转发是只开你指定的几扇门。NAS、摄像头这类设备安全更新和密码管理不一定跟得上，开DMZ等于把整台机器推出去，我不建议。

UPnP则更省心，程序自己会向路由器申请开端口。游戏主机、BT下载开着确实方便，但问题是装在家里的一些软件也可能悄悄申请，开了以后端口列表会多一堆看不懂的条目。我自己的做法是：平时UPnP关掉，需要游戏联机或下载工具跑通时再临时开；有明确服务要长期外网访问的，手动端口转发，不依赖UPnP。UPnP背后那套申请动作，我在UPnP是什么意思里拆过，这里只记一个结论：能手动指定就别长期靠自动。

三者关系一句话：端口转发是指定门牌开门，UPnP是设备自己来敲门，DMZ是把整栋楼的门禁都交给一台设备。家用场景优先手动端口转发；端口多、又搞不清该开哪些时，再考虑UPnP；DMZ留到最后，并且设备上要把系统更新和强密码先做好。

最后按这个顺序来，别再上来就重启路由器

我把自己的流程压成五步，照做基本不会乱：先把内网设备固定IP，确认局域网访问正常；再进192.168.31.1高级设置添加规则，外部端口对应外部端口、内部IP对应那台设备；保存并生效后，核对路由器WAN口IP和手机流量查到的公网IP是不是同一个；接着用手机流量从外网测试；不通再查双重NAT和NAT回流，而不是反复重启路由器。

如果内网通、WAN口IP也是公网IP、规则也没填反，外网还是打不开，那再回头检查设备防火墙和端口是否真的在监听。Windows可以在命令行用netstat查，飞牛和群晖在系统设置里查防火墙。端口转发只是把门打开，门后得真有人在，这话不漂亮但最管用。

这篇是小米路由器的路径，其他品牌后台名字可能叫端口映射、虚拟服务器、NAT设置，原理一样。你现在要是正准备开第一条规则，建议先从我说的内网自测开始，能少走半晚上弯路。