前言

NAT (Network Address Translation，網路位址轉換) 是路由器連接內網與外網的核心技術。磊科 NW714 路由器 NAT 模組提供三大進階功能：DMZ 主機、FTP 私有端口、虛擬伺服器 (端口映射)。本文深度解析各功能原理、適用場景、配置參數與安全注意事項。

一、DMZ 主機 (Demilitarized Zone，非軍事區)

功能定義

將內網中**指定單一電腦**的所有埠口**完全暴露**於公網，繞過路由器防火牆與 NAT 保護，直接承接所有未匹配現有端口映射規則的入站連線。

適用場景

• 內網伺服器需開放大量/不固定埠口 (如視訊會議伺服器、語音伺服器、特定遊戲伺服器)
• 應用程式因防火牆/NAT 限制無法正常穿透 (如早期 P2P、特定 VoIP、舊版遊戲)
• 測試/除錯階段，需排除路由器防火牆因素

配置方法

1. 登入管理介面 → 「NAT 設定」/「防火牆」→「DMZ 主機」
2. DMZ 主機 IP 位址：輸入目標內網電腦的 **靜態 IP** (或 DHCP 保留固定 IP)
3. 勾選 「啟用」
4. 點擊「應用/保存」

⚠️ 安全警示 (必讀)

• DMZ 主機**完全失去防火牆保護**，直接面對公網掃描、暴力破解、漏洞利用
• 該主機**必須**自行啟用軟體防火牆、關閉非必要服務/埠、強制強密碼、及時修補系統漏洞
• 無特殊必要嚴禁啟用 DMZ，優先使用「虛擬伺服器」精確映射所需埠口
• 若必須使用，建議搭配「IP 存取控制」限制來源 IP 範圍

二、FTP 私有端口

背景知識

• 標準 FTP 伺服器預設監聽 TCP 埠 21 (控制連線)
• 為安全/避免掃描，管理員常修改 FTP 伺服器監聽埠 (如 2121、21212 等)
• 路由器 NAT 預設僅識別埠 21 進行 FTP 協議檢測 (ALG)，非常用埠將導致 FTP 數據連線 (PORT/PASV 模式) 穿透失敗

配置方法

1. 進入「NAT 設定」→「FTP 私有端口」/「特殊應用」
2. FTP 私有端口欄位填入 **FTP 伺服器實際監聽的非標準埠號** (如 2121)
3. 點擊「應用」

路由器 NAT ALG 將識別該埠口的 FTP 控制連線，動態開放對應數據連線埠，實現 FTP 穿透。

三、虛擬伺服器 (Virtual Server / Port Forwarding / 端口映射)

核心定義

將**外部對特定公網埠口的請求**，**重定向**至內網指定主機的指定埠口。精確映射，僅開放必要埠，安全性遠高於 DMZ。

配置參數詳解

參數	說明	範例/建議
虛擬伺服器名稱	自定義識別名稱	Web_Server、Game_PS5、NAS_Web
內網主機 IP 位址	目標內網伺服器的 **靜態 IP** (或 DHCP 保留固定 IP)	192.168.1.100
協議	TCP / UDP / TCP&UDP	Web/SSH/HTTPS 選 TCP；遊戲/語音常需 UDP；不確定選 TCP&UDP
外部埠口	公網側開放埠號，可填單一埠或範圍 (如 8080-8090)	80 (HTTP)、443 (HTTPS)、3389 (RDP)、25565 (MC)
內部埠口	內網伺服器實際監聽埠號，可與外部埠不同	內網 Web 為 80，外部映射 8080 避開 ISP 封鎖/衝突

內建服務模板 (快速選單)

下拉選單提供常見服務預設 (HTTP:80、HTTPS:443、FTP:21、RDP:3389 等)，選取後自動填入協議/埠口，僅需輸入內網 IP 即可。

⚠️ 關鍵衝突避坑指南

若設定了外部埠 8080 (TCP) 的虛擬伺服器，則**必須**在「綜合設定」→「遠端管理」中將「遠端管理埠」修改為**非 8080** 的值 (如 8081/8888)，否則會發生埠口衝突，導致虛擬伺服器不生效或遠端管理失效。

四、三大功能選型決策樹

需要從外網存取內網服務？
    │
    ├─ 是 → 需開放大量/動態/不固定埠口？ → 是 → DMZ (高風險，需主機自衛)
    │                                      │
    │                                      └─ 否 → 僅需特定幾個固定埠口？ → 虛擬伺服器 (推薦，最安全)
    │
    └─ 否 → 不需配置
    
特殊情況：內網跑 FTP 伺服器且改了非 21 埠 → 必須設「FTP 私有端口」配合虛擬伺服器

五、實務最佳實務

1. 內網伺服器固定 IP：採用「DHCP 保留」(MAC 綁定固定 IP) 或靜態 IP，避免 IP 漂移導致映射失效
2. 最小權限原則：僅映射業務必要埠，嚴禁全埠映射 (即 DMZ)
3. 外部埠避開常見掃描埠：如 SSH 改 2222、RDP 改 33389、Web 改 8080/8443，降低自動化掃描命中率
4. 搭配 DDNS：動態公網 IP 環境下，配置 DDNS 域名 + 虛擬伺服器，實現固定域名遠端存取
5. 定期審計規則：季度檢查虛擬伺服器列表，刪除廢棄規則，縮小攻擊面
6. 測試驗證：外網環境 (4G/鄰居 Wi-Fi) 用 `telnet 域名 埠口` / `nc -zv 域名 埠口` / 線上端口掃描工具驗證連通性

結語

磊科 NW714 NAT 三大功能定位明確：虛擬伺服器為主流首選 (精準映射、安全可控)、**FTP 私有端口解決非標準埠 FTP 穿透**、**DMZ 為極特殊場景最後手段 (高風險、需主機級防護)**。配置時務必遵循「固定內網 IP、最小埠口暴露、避開管理埠衝突、搭配 DDNS、定期審計」原則，構建安全可靠的內網服務發布通道。