Windows 原生实现端口转发及指定 IP 访问限制（附踩坑指南）

在日常开发或运维中，我们经常会遇到需要进行“端口映射”的场景。比如：想把本地的 8080 端口流量，直接转发到内网另一台服务器（假设 IP 为 10.0.0.100）的 80 端口上，并且只允许特定的 IP 来访问这个服务。

在 Linux 下我们通常会用 iptables 或 Nginx，但在 Windows 环境下，其实完全不需要安装任何第三方软件，利用系统自带的 netsh 命令和 Windows 防火墙就能优雅搞定。

一、 配置端口转发 (Portproxy)

Windows 自带了一个非常强大的网络配置命令行工具：netsh。我们可以使用它的 portproxy 模块来实现 IPv4 到 IPv4 的端口转发。

请以管理员身份运行 PowerShell 或 CMD，执行以下命令：

netsh interface portproxy add v4tov4 listenport=8080 listenaddress=0.0.0.0 connectport=80 connectaddress=10.0.0.100

参数解析：

• listenport=8080：本机要打开的监听端口。
• listenaddress=0.0.0.0：允许通过本机的所有网卡地址进行访问。
• connectport=80：要转发到的目标端口。
• connectaddress=10.0.0.100：要转发到的目标服务器 IP。

日常维护命令：

• 查看所有转发规则：netsh interface portproxy show all
• 删除某条转发规则：netsh interface portproxy delete v4tov4 listenport=8080 listenaddress=0.0.0.0

二、 限制访问来源 IP (高级防火墙)

上面的命令配置好后，相当于把本机的 8080 端口完全暴露了。如果出于安全考虑，只允许某个特定的 IP（例如 192.168.1.50）访问，我们需要借助 Windows 防火墙。

1. 添加严格的单点放行规则：

netsh advfirewall firewall add rule name="Allow_8080_Only_From_Specific_IP" dir=in action=allow protocol=TCP localport=8080 remoteip=192.168.1.50

注：remoteip 就是核心的安全限制参数，指定了唯一合法的来源 IP。

2. 清理全局放行规则（非常重要！）：

Windows 防火墙的逻辑是“只要有一条允许，就会放行”。如果你之前在测试时添加过“允许所有人访问 8080”的规则，必须将其删掉，否则我们的限制将形同虚设。

可以通过下面这条命令删除旧的无限制规则（替换为你自己设置的规则名称）：

netsh advfirewall firewall delete rule name="你的全局放行规则名称"

三、 避坑指南：为什么配置了却不生效？

很多时候，我们按部就班地敲完了上面的命令，却发现外部依然连不上。在服务器上敲 netstat -ano | findstr 8080 发现没有任何输出——Windows 根本没有在监听这个端口！

如果你遇到了这个情况，请依次排查以下两个最容易被忽视的系统“暗病”：

坑位 1：IP Helper 服务未启动

netsh portproxy 端口转发功能的底层强依赖于 Windows 的 IP Helper (iphlpsvc) 服务。如果这个服务处于停止状态，你添加的规则就只是一行废文本。

• 解决办法： 在 PowerShell 中运行 Start-Service iphlpsvc 启动它。如果是修改了规则后不生效，建议运行 Restart-Service iphlpsvc 强制重启服务以重新加载配置。

坑位 2：禁用了 IPv6 协议栈（终极深坑）

这是一个极其隐蔽的问题。netsh interface portproxy 的底层实现强依赖于 IPv6 协议栈。即使你做的是纯 IPv4 到 IPv4（v4tov4）的映射，如果你的系统网卡禁用了 IPv6，端口监听就会静默失败（不报错，但不工作）。

• 解决办法：

  1. 按 Win + R 输入 ncpa.cpl 打开网络连接。
  2. 右键点击你正在使用的网卡 -> 属性。
  3. 确保 “Internet 协议版本 6 (TCP/IPv6)” 前面的复选框是勾选状态。
  4. 勾选并保存后，再次重启 IP Helper 服务（Restart-Service iphlpsvc）。

此时再运行 netstat -ano | findstr 8080，看到 TCP 0.0.0.0:8080 0.0.0.0:0 LISTENING，就大功告成了！

版权属于：soarli

本文链接：https://blog.soarli.top/archives/884.html

转载时须注明出处及本声明。