华硕路由器端口转发树莓派Node HTTP服务器后无法外网连接如何排查

1. 确认公网IP属性 #

首先验证你获取的公网IP是否为运营商分配的独立公网IP：

• 登录华硕RT-AC68U后台，进入「外部网络(WAN)」-「互联网连接」页，查看WAN口实际分配的IP，和你从公网IP查询站点拿到的IP做比对：
  • 若二者不一致，说明你当前的宽带是运营商CGNAT内网宽带，你拿到的公网IP是运营商共享出口IP，无法直接通过端口映射访问内网服务，需要先联系运营商申请独立公网IP，或使用内网穿透方案。
  • 若二者一致，继续后续排查。

2. 路由器配置排查 #

2.1 端口转发规则校验 #

• 确认端口转发规则配置正确：外部端口填写你要对外暴露的端口（如3000），内部端口填写树莓派Node服务的实际端口3000，内部IP填写树莓派固定内网IP 192.168.1.56，协议选择TCP，规则状态为启用。
• 确认树莓派的内网IP为固定地址：可在路由器「内部网络(LAN)」-「DHCP服务器」中给树莓派的MAC地址绑定固定IP，避免DHCP分配IP变动导致转发失效。

2.2 防火墙与防护规则校验 #

• 进入「防火墙」-「一般设置」页，确认没有针对3000端口的入站拦截规则，可临时关闭DoS保护、AiProtection入侵防护功能测试，避免规则误拦截正常访问请求。

2.3 远程管理端口占用排查 #

你观测到的443端口开放、TLS握手失败现象，基本是路由器远程管理功能占用端口导致：

• 进入「系统管理」-「系统设置」页，找到「远程访问设置」项，若「启用远程访问」为开启状态，默认会占用443端口对外提供路由器管理服务，你访问公网IP的443端口时实际请求到了路由器管理后台，因证书、加密套件不兼容出现报错。
• 不需要远程管理路由器可直接关闭该功能；需要使用的话可将远程管理端口修改为10000以上的高位端口，避免端口冲突。

3. 运营商端口封锁排查 #

完成上述配置校验后仍无法访问，可判定为运营商端口限制：

• 国内家庭宽带普遍默认封锁80、443、8080、3000等常用Web服务端口的入站访问，你可以将Node服务端口、端口转发规则的外部端口都修改为10000以上的高位端口（如32000）测试。
• 若更换高位端口仍无法访问，可联系宽带运营商客服，明确说明需要公网IP用于远程办公、远程监控用途，要求解除端口入站限制，正常情况下都会为你开通。

内容的提问来源于stack exchange，提问作者Alibasher