小米路由器DMZ在哪里设置？端口转发最底下，开之前先确认公网IP

上个月我把家里一台海康DS-7808N-F1接到小米AX3000T下面，想在公司用手机看监控回放。售后说开DMZ最省事，可我在米家App里翻了半天，只看到限速、防蹭网、儿童模式，压根没有DMZ。后来换成电脑进192.168.31.1，在高级设置里的端口转发页面最底下才找到它。这开关藏得不深，但坑全在开关外面，今天把入口、前置检查和收尾一次说清。

DMZ到底是什么？把整台机器推给公网，不是只开一扇门

家里所有设备出门之后，对外只显示一个公网IP，这个IP先落在路由器WAN口上。外面主动敲门时，路由器默认不知道要把请求交给哪台内网设备，所以全挡。端口转发是开指定的一扇门，比如外网8080只转到192.168.31.66这台机器；DMZ不一样，它把没匹配到规则的所有流量，一股脑交给一台设备。

我拿监控主机举例更直观。这台DS-7808N-F1平时用8000端口看实时预览，回放又可能用到别的端口，具体要开哪几个一时半会数不清。DMZ就是图省事：我只填一个内网IP 192.168.31.66，等于告诉路由器，除了已经写好的规则，剩下所有从外面进来的连接都往它身上送。端口转发是只开门，DMZ是直接把这台机器搬到门卫边上，外面谁都能伸手够到。

这两个概念的区别，我在端口转发和DMZ到底有啥区别里拆过一遍，这里就记一句话：家用能指定端口就先端口转发，DMZ留到最后。

开之前先查公网IP，不然填完也白填

我先踩的坑就是这个。规则页还没开，脑子先默认「有宽带就有公网IP」，结果填完在公司怎么都连不上。后来把路由器的WAN口IP和手机流量查出来的IP摆一起，才发现对不上。

判断方法不复杂。第一步，进192.168.31.1，在常用设置或上网设置里找WAN口IP，把地址抄下来。第二步，用手机流量打开ip.cn，或者直接搜「IP」，看它显示的地址。第三步，两个地址一样，才说明公网IP真的落到你的小米路由器上，DMZ或者端口转发才有得玩。

我这边宽带没要公网IP，路由器的WAN口显示100.64.100.23，手机流量查出来却是113.108开头的另一个地址。中间隔着运营商一层大内网，也就是常说的NAT444或者双重NAT。这种时候你在小米路由器里开DMZ，外面根本摸不到你家，怎么测都是转圈。得先找运营商要公网IP，或者让光猫改成桥接，让小米路由器自己拨号。

双重NAT具体怎么查、光猫那边怎么处理，我在双重NAT是什么意思里写过。这里只强调一句：WAN口IP只要是100.64到100.127、10、192.168、172.16到172.31这些开头，基本就是没公网IP，先把这层解决，再回来开DMZ。

31.1后台四步：高级设置→端口转发→拉到最下面

米家App里确实没有DMZ，手机浏览器进192.168.31.1看到的也是简化版，我第一晚就在手机和App之间反复横跳。后来坐回电脑才理顺，路径就四步。

第一步，电脑连上小米路由器，浏览器打开192.168.31.1，也可以输miwifi.com。第二步，进常用设置，找到高级设置。第三步，点端口转发。第四步，页面往下拉到底，DMZ这个开关就躺在那里，别用搜索框找，有些固件搜不到。

如果连192.168.31.1本身都打不开，那DMZ是更后面的事，先按小米路由器192.168.31.1打不开进不去怎么办排查，不然页面都进不去。手里实在没电脑，手机浏览器也可以切桌面版网页试试，但步骤多还不稳定，我不建议拿手机折腾。

打开DMZ开关后，系统会让你选择一台内网设备。这里千万别选错，尤其是家里如果有一堆米家设备，列表长得像电话本。我习惯提前把目标设备的IP和MAC记在纸上，比如海康NVR固定成192.168.31.66，选的时候直接对号，不凭设备名猜。

选完点保存并生效。有些固件保存后不会明显提示成功，只跳回上一页，回端口转发页面看DMZ开关还亮着，就是生效了。

填完从外网怎么验：用手机流量，别用家里WiFi

我第一次验证时，在家里连着WiFi访问公网IP加8000端口，一直打不开，差点把DMZ关了又开、路由器重启三遍。后来换手机流量，一次就通。这个差别有个专门说法叫NAT回流，很多家用路由器不支持，从内网用公网IP访问自己会被当成环回拦掉，不是规则配错。

验证顺序我后来固定成三步。第一，确认目标设备内网正常，比如另一台手机连家里WiFi访问192.168.31.66:8000，能打开就说明服务本身活着。第二，手机流量访问公网IP加8000端口，能通就说明DMZ生效。第三，如果内网通、流量又不通，回到上一节查公网IP，别重复重启路由器。

还有一类情况是内网都打不开，那问题在设备防火墙或者服务没起来。Windows可以在命令行跑netstat -ano | findstr 8000，看有没有进程在监听；海康这类监控可以在系统设置里看端口和防火墙。DMZ只是把门拆了，门后得真有人在，这话不好听但最管用。

NAS和摄像头到底要不要开DMZ？我的结论是能不开就不开

给监控开完DMZ那几天，我把路由器日志翻了一遍，凌晨两三点总有陌生IP在扫22、23、3389这些端口。虽然我最终填的是NVR不是NAS，但想到如果填的是群晖，等于把SSH、网页后台、文件服务全都亮出去，密码再强也架不住天天被扫。

所以我的原则很简单：能数清服务端口，就用手动端口转发；端口多又搞不清，再考虑DMZ，而且只在需要的那几天开。比如NAS跑飞牛或群晖，网页后台一般就5000或5001，文件传输一个端口，明明数得清，没理由把整台机器推出去。小米的端口转发路径，我刚写过一篇小米路由器端口转发怎么设置，就在同一个高级设置里。

真正适合DMZ的，是那种老监控、老DVR、老视频会议主机，文档找不到端口表，又要马上远程用。这种设备本来就很旧，系统可能三年没更新，长期开DMZ等于把家里最弱的那台机器当门面。我的做法是先用DMZ把事办成，记住端口，回头改回手动端口转发，再把DMZ关掉。

测完记得关，实在要长期开就做这四件事

如果你像我一样只是临时看几天监控，办完事一定回端口转发页面把DMZ开关关掉。这开关是全部放行，不是到点自动关，忘了关它就一直在。

实在有一台老设备必须长期开，那至少把下面四件事做掉：先把设备IP固定，别让重启后IP从192.168.31.66飘到192.168.31.70；再改掉默认密码，别让admin加123456这种组合裸奔；设备能升级固件就升级，老DVR不能升就别放重要数据；最后在设备自己的防火墙里只放需要的那几个端口，能少一层是一层。

最后收个尾。小米路由器DMZ的路径不难记：电脑进192.168.31.1，高级设置→端口转发→页面最下面，打开后选一个内网IP。真正的顺序应该是先查公网IP，再想清楚这台设备是不是必须整机暴露，接着才动手。我在双重NAT是什么意思里提到的光猫那层，往往比小米后台这个开关更决定成败。先把公网IP这条线走通，DMZ才不是摆设。