端口映射规划是什么
端口映射规划是决定对外发布哪些公网地址端口、映射到哪个内网主机端口、由谁负责的过程。原则是最小发布：只开放业务必需端口，公网端口尽量贴近业务习惯便于用户访问，内网真实端口保持不对外可见。规划的另一半是可维护性：每条映射都要有登记记录与有效期，否则临时调试端口会在设备上长期驻留，形成无人认领的暴露面。
基本信息
| 基本原则 | 一条映射对应一个业务，注明用途、负责人与有效期 |
|---|---|
| 端口选择 | 公网端口贴近业务习惯（如 443），内网端口可非标以增加隐蔽性 |
| 前置设备 | 与 WAF、负载均衡联动时，要写清每一跳的地址与端口 |
| 禁止项 | 使用映射承载未登记的服务、把管理端口直接暴露到公网 |
| 核查方式 | 按登记表与设备配置双向核对，清理无对应业务的映射 |
典型使用场景
- 新业务发布：提交映射申请，登记后由网络侧统一配置
- 证书与域名变更：核对映射端口与证书域名是否匹配
- 临时调试：为厂商联调开通临时端口，到期自动回收
- 暴露面治理：清理长期无业务对应的映射条目
- 审计准备：用登记表说明每个公网端口对应哪个业务与责任人
发布登记表示例
发布登记表示例
公网地址端口 内网地址端口 业务 负责人 有效期
202.1.1.20:443 192.168.20.10:8443 门户站点 张三 长期
202.1.1.21:8443 192.168.21.11:8443 开放接口 李四 至 2026-12-31
# 登记表要与设备配置定期双向核对，避免配置与台账不一致规划要点
| 要点 | 做法 | 不做的后果 |
|---|---|---|
| 端口最小化 | 只开业务必需端口 | 暴露面扩大，被扫描概率上升 |
| 端口习惯化 | 公网端口贴近业务习惯 | 客户端改造与用户困惑 |
| 内网端口隐蔽 | 内网使用非标端口 | 被直接猜中内网服务端口 |
| 登记与复核 | 每条映射有责任人与有效期 | 临时端口长期驻留无人认领 |
| 链路写清 | 注明每一跳地址与端口 | 排障时无法判断哪一跳出问题 |
发布端口与 WAF、负载均衡等前置设备联动时，注册链路要写清每一跳的地址与端口：真实客户端地址是否被保留、证书在哪一跳终止，都会影响后续的日志与排障。