关键在于使用dnat而非泛称端口转发：阿里云标准型nat不支持dnat，需增强型或clb/alb；腾讯云、华为云支持直接配置dnat规则；aws nat gateway不支持，需ec2+iptables或alb替代；本地路由器“nat server”即dnat。

要让外网访问内网服务，关键不是“端口转发”这个说法本身，而是明确使用 DNAT（目的地址转换） 功能。很多用户误以为所有 NAT 网关都支持直接映射，实际上标准型 NAT 网关普遍只支持 SNAT（用于内网访问外网），不支持 DNAT。能否配置成功，取决于你用的是哪类网关、哪个云厂商，以及是否满足前置条件。

先确认你的 NAT 网关是否支持 DNAT

不同平台差异很大，不能一概而论：

• 阿里云标准型 NAT 网关不支持 DNAT，必须改用增强型 NAT 网关，或搭配 ALB/CLB 使用；
• 腾讯云、华为云新版公网 NAT 网关提供独立的“DNAT 规则”入口，可直接添加映射；
• AWS NAT Gateway 原生不支持 DNAT，官方建议用 EC2+iptables 或 ALB/ELB 替代；
• 本地路由器或华为企业路由器上的“NAT Server”功能，本质就是 DNAT，只要 WAN 口有公网 IP 就能配。

如果支持 DNAT：直接配置端口映射规则

以支持 DNAT 的云平台（如华为云、腾讯云）为例，操作路径清晰：

• 进入 NAT 网关控制台 → 找到目标实例 → 切换到“DNAT 规则”页签；
• 点击“添加规则”，填写五要素：公网 IP（已绑定的 EIP）、公网端口（如 443）、协议（TCP/UDP）、内网 IP（如 192.168.1.100）、内网端口（如 443）；
• 保存后，外网即可通过 http://[EIP]:443 访问该服务；
• 注意：若内网服务监听的是非标准端口（如 8080），公网端口可设为 80，实现“隐藏真实端口”效果。

如果不支持 DNAT：用 CLB/ALB + NAT 网关组合更稳妥

这是生产环境推荐做法，兼顾安全与扩展性：

• 创建公网负载均衡（CLB 或 ALB），监听 80/443 等端口，后端挂载内网 ECS；
• ECS 安全组仅放行来自 CLB 内网段的流量（如腾讯云 CLB 段为 100.64.0.0/10），杜绝公网直连；
• 同一子网内的 ECS 仍通过该 NAT 网关做 SNAT 出向访问（如调用第三方 API），实现“入向受控、出向统一”；
• 后续如需灰度、HTTPS 卸载、WAF 集成，CLB 层天然支持，而纯 DNAT 无法扩展。

补充：自建 Linux 网关或 VMware 虚拟机场景

没有云平台时，也可手动实现 DNAT：

• Linux 主机开启 IP 转发：echo 1 > /proc/sys/net/ipv4/ip_forward；
• 添加 iptables DNAT 规则：iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j DNAT --to-destination 192.168.1.100:443；
• 补充 FORWARD 链放行规则，并保存至配置文件防止重启丢失；
• VMware Workstation 用户可在“虚拟网络编辑器→VMnet8→NAT 设置→端口转发”中图形化添加，填入宿主机端口、虚拟机 IP 和端口即可。