游戏服务器能在主机上启动，不代表外网玩家一定能连入。配置游戏服务器端口映射与防火墙规则配置时，关键是让三处信息一致：服务器监听的地址和端口、路由器转发的目标、主机防火墙允许的入站流量。先核对监听范围，再逐层放行，能避免盲目开放一大片端口。
先弄清服务器究竟监听什么
“监听端口”是服务等待连接的本机入口。查看游戏服务器的配置文件、启动参数或官方说明，确认端口号、协议类型，以及监听地址。端口可能使用 TCP、UDP 或两者；不能只凭游戏名称猜协议，也不要把客户端连接端口直接当作服务器端口。
监听地址同样重要。若服务只绑定到 127.0.0.1，通常只能由本机访问；若绑定到某个内网地址，则应确认该地址仍属于运行服务器的设备。绑定到所有网络接口的设置通常便于局域网连接，但也意味着需要认真检查防火墙允许范围。
按顺序完成端口映射和放行
- 固定服务器的局域网地址。在路由器中为主机设置 DHCP 地址保留，或按网络管理方式配置固定地址。这样设备重启后，转发规则不容易指向旧地址。
- 记录服务需要的端口与协议。以服务器实际配置及其说明为准，分别记下外部玩家需要访问的端口、TCP 或 UDP 类型，以及是否还有独立的查询或管理端口。只开放联机必需项。
- 在路由器设置端口转发。将外部端口转发到服务器的局域网地址和对应内部端口。若路由器要求选择协议，应按服务要求逐项创建规则；只有确实需要时才同时选择 TCP 和 UDP。
- 添加主机防火墙入站规则。允许指定程序或指定端口上的必要协议，并尽可能限制适用的网络配置文件或来源地址。规则应作用于入站流量；仅有出站放行通常不能替代它。
- 从外部网络测试。让朋友通过不同网络尝试连接，或使用手机蜂窝网络验证。不要只在同一局域网内测试：部分路由器不支持从内网经公网地址回连，局域网测试成功或失败都不能单独证明外网转发有效。
映射成功还要满足的网络条件
确认公网地址是否到达自家路由器
端口转发依赖外部流量能够到达管理这条连接的路由器。如果路由器的 WAN 地址与外部查询到的公网地址不同，或 WAN 地址处在运营商共享地址范围，连接可能经过上级网络的 NAT。这时，仅在自家路由器添加规则并不足够；若属于 CGNAT，通常需要咨询网络服务商是否能提供可入站访问的地址或其他方案。
家中还有光猫或第二台路由器时，也要检查是否存在双重 NAT。流量若先经过上级设备，再到下级路由器，可能需要在两层设备分别转发，或将网络改为由一台设备负责路由。操作前确认设备连接方式，避免无意中改变家庭网络设置。
UPnP 与手动规则怎么选
UPnP可让程序请求路由器自动创建映射，设置省事，但映射由设备或程序动态申请，管理与审计较不直观。手动端口转发更容易核对目标主机和端口，适合长期运行的固定服务器，但需要自行维护地址与规则。无论采用哪种方式，都应定期删除不用的映射；不要为了方便开放整个端口范围。
连不上时按路径逐层排查
把连接路径拆开检查：服务器是否正在监听、局域网设备能否连接、主机防火墙是否放行、路由器规则是否指向正确地址，最后再查公网地址及上级 NAT。若局域网可连、外网不可连，重点看路由器转发和公网可达性；若局域网也不可连，先回到服务器监听地址、端口和防火墙规则。
还要留意服务器重启后端口是否变化、端口是否被其他程序占用，以及服务端与玩家填写的地址和端口是否一致。排查时一次只改一个设置，并记录修改前的规则，便于恢复。完成游戏服务器端口映射与防火墙规则配置后，保留最小必要的放行范围，比长期关闭防火墙更安全。
常见问题
路由器里设置了转发，为什么外网还是连不上？
先确认服务器正在监听且主机防火墙允许入站，再核对转发目标地址。若都正确，检查双重 NAT、CGNAT 或公网地址变化。
是否应该同时开放 TCP 和 UDP？
只有服务器说明要求两种协议时才同时开放。协议不匹配会导致连接失败，开放无关协议则增加不必要的暴露面。
同一局域网能连，是否说明映射已成功？
不能。局域网连接通常不经过公网端口转发，应从外部网络进行验证；部分路由器也不支持内网回连公网地址。
游戏服务器结束运行后要删除规则吗？
不再提供服务时，建议关闭对应防火墙入站规则并删除路由器映射，减少长期开放的入口。
记住先核实监听范围和协议，再设置路由器转发与主机入站规则，并从外部网络验证。按这条路径完成游戏服务器端口映射与防火墙规则配置，比先开放大量端口再逐一试错更清晰，也更易控制风险。
