Question

路由器映射的问题。。怎么让才能让外网IP远程连接上内网的指定机器？

问题如图。。写得很详细，希望高手们可以帮帮忙。。

描述：在路由器里面把DMZ主机设置成了192.168.3.2
并在转发规则上，把端口2345和192.168.3.2做了映射

可是，当我在外网电脑上，用系统自带的远程桌面边接去连内网的动态IP，并加上端口号。如 ***.**.218.195：2345 。。。却连不上去

当我不加端口号，直接连 ***.**.218.195 时，却可以连上，并指向了192.168.3.2 这台机器

疑问就是，那么 "映射" 不是白做了吗? 加上端口号反而连接不上??
怎么样才能做到,当访问 ***.**.218.195:2345时,才能正常连上
这样就可以用上这个端口了.

如下图:
有什么办法可以用上2345端口吗？ 我想要的效果是，加上端口号可以远程；。；不加端口号就不行。。可以实现吗？应该在192.168.3.2这台机上设置什么，还是要在路由里面设什么啊？？

Answer 1

设置dmz主机就等于你把192.168.3.2这个ip的机器所有端口直接全部映射了！
这个dmz主机介绍！
针对不同资源提供不同安全级别的保护，可以考虑构建一个叫做“Demilitarized Zone”（DMZ）的区域。DMZ可以理解为一个不同于外网或内网的特殊网络区域。DMZ内通常放置一些不含机密信息的公用服务器，比如Web、Mail、FTP等。这样来自外网的访问者可以访问DMZ中的服务，但不可能接触到存放在内网中的公司机密或私人信息等。即使DMZ中服务器受到破坏，也不会对内网中的机密信息造成影响。

当规划一个拥有DMZ的网络时候,我们可以明确各个网络之间的访问关系,可以确定以下六条访问控制策略。

1.内网可以访问外网
内网的用户显然需要自由地访问外网。在这一策略中，防火墙需要进行源地址转换。

2.内网可以访问DMZ
此策略是为了方便内网用户使用和管理DMZ中的服务器。

3.外网不能访问内网
很显然，内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。

4.外网可以访问DMZ
DMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。

5.DMZ不能访问内网
很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要数据。

6.DMZ不能访问外网
此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。

==============================
什么是“DMZ”？
即内网和外网均不能直接访问的区域，多用于连接WWW服务器等公用服务器

就是为外部用户访问内部网络设置的一个特殊的网络

Answer 2

看过你的图片，及要求。发现要达到要求解决问题有两个办法：
1、你的路由器型号是简单家用型，非企业级路由。并不提供你所需要的内外网端口对应映射。只能提供简单外网端口映射到内网IP。如果要使用路由达到这个功能，就需要你更换具有该功能路由器。（如我使用的一款LINKSYS里面提供内外网端口映射。可以指定外网访问2345端口直接映射到内网具体IP地址的3389端口—你远程登陆使用的端口）。 也可以购买路由器时具体咨询是否具有该功能。
2、仍然使用单独使用端口映射，去掉DMZ，这两项属于设置重复。默认优先为DMZ（这个是内外网端口对应）。导致你无法添加端口号远程登陆。 在电脑系统中修改默认远程登陆端口号。具体方法可以搜索下载修改远程桌面端口软件。 使用软件修改，或自行查询相关文章修改注册表中默认端口达到目的。

Answer 3

DMZ相当于映射。有DMZ就不用再做映射了。
远程桌面端口好像是3389。 如果你要实现这样的效果，需要把默认端口改为其它非默认端口，譬如3214，这样程序连接时候，必须加端口号才行。不加端口号都用默认端口号的。

追问

嗯，关键是要怎么改？

追答

修改方法：http://wenku.baidu.com/view/299eb8126edb6f1aff001fa9.html
或者http://support.microsoft.com/kb/306759

追问

非常感谢，如题所说的，我已实现，可是发现问题，只要把192.168.3.2的防火墙一开，就不能远程了，关闭防火墙则正常，有办法解决吗？？

Answer 4

1、路由器默认的WEB管理端口为80，如果您改变了默认的WEB管理端口（例如改为88），则您必须用“IP地址:端口”的方式（例如http://192.168.1.1:88）才能登录路由器执行WEB界面管理。此功能需要重启路由器才能生效。
2、路由器默认的远端WEB管理IP地址为0.0.0.0，在此默认状态下，广域网中所有计算机都不能登录路由器执行远端WEB管理，如果您改变了默认的远端WEB管理IP地址（例如改为202.96.12.8），则广域网中只有具有指定IP地址（例如202.96.12.8）的计算机才能登录路由器执行远端WEB管理。如果将远端WEB管理IP地址设为255.255.255.255，那么，广域网中所有的计算机都可以登录路由器执行远端WEB管理。
3、如果WEB管理端口与“转发规则”中虚拟服务器条目的端口产生冲突，当您保存配置时，存在端口冲突的虚拟服务器条目将被自动禁用。

Answer 5

按你的要求，你端口映射的方法是错误的。你的要求正确的描述应该是把外网的2345端口映射到内网服务器192.168.3.2的3389端口。在你发的图里面没有看到应该出现的正确的操作界面。你点下特殊应用程序，看看有没有你想要的。正确的界面应该有3个空可以填，外网端口、内网IP、内网端口。
后面说下你以前的错误：
1.DMZ主机是映射外网的所有端口到内网主机相对应的所有端口，这样就造成你说的不输端口就能远程的问题，因为映射了所有的端口，你的主机在外网看来是完全开放的，很不安全。最好关闭掉。
2.你设置的虚拟服务器也是错误的。这样设置仅仅是映射外网的2345端口到内网192.168.3.2的2345端口，而远程桌面是服务在3389端口的，这个映射根本没起到应有的作用，他是无效的，所以你加上端口号反倒无法访问了。
最后，如果在特殊应用程序没有看到我想要的端口映射操作，那么就只能更改远程桌面的服务端口到2345了。

追问

谢谢，我照着你说的去做了，在特殊应用程序上有 触发端口 触发协议 开放端口 开放协议这几样。反而把我看晕了。。估计这得跟虚拟服务器一起用，，例如，所有协议的2345端口为触发，然后开放3389端口的所有协议。再把3389端口映射到192.168.3.2上，这样就能实现了，对吧。。如题所说的，我已实现，可是发现问题，只要把192.168.3.2的防火墙一开，就不能远程了，关闭防火墙则正常，有办法解决吗？？