Windows Server通过RRAS+ NAT实现Web服务发布，需双网卡、禁用ICS、配置静态端口映射（如外网80→内网192.168.10.100:80），并放行防火墙及验证回程路由。

在windows server环境中，通过nat静态映射将内网web服务器（如iis）对外发布，核心是利用windows自带的internet连接共享（ics）或更推荐的rras（路由和远程访问服务）+ nat功能，把公网ip的特定端口（如80/443）固定转发到内网web服务器的ip和端口。关键不是装第三方软件，而是正确配置rras中的入站nat规则。

确认系统角色与网络拓扑

确保你使用的是Windows Server（2012 R2及以上），且服务器至少有两块网卡：一块接外网（带公网IP或可被上级路由器映射），另一块接内网（如192.168.10.1/24）。内网Web服务器（例如192.168.10.100）需能正常访问，防火墙放行HTTP/HTTPS端口。

• 外网网卡不能启用“Internet连接共享（ICS）”，否则会冲突；ICS仅适合简单家用场景，不支持自定义端口映射
• 内网Web服务器默认网关应指向Windows Server的内网IP（如192.168.10.1），确保回程路由通畅
• 若外网IP为运营商分配的动态公网IP，需配合DDNS使用；若为私网IP（如10.x.x.x），则需上联设备先做一次NAT

启用RRAS并配置NAT基本功能

以管理员身份运行PowerShell或服务器管理器，添加“远程访问”角色（含RRAS），安装完成后打开“路由和远程访问”管理控制台（rrasmgmt.msc）。

• 右键服务器名 → “配置并启用路由”，选择“网络地址转换（NAT）” → 指定外网网卡（注意：不要选错！）
• 展开“IPv4”→“NAT”，右键外网接口 → “属性” → 勾选“启用基本防火墙”（可选，但建议开启）
• 此时NAT已工作，但仅支持出站（内网访问外网），还需手动添加入站静态映射

添加静态端口映射（Port Forwarding）

这是发布Web服务的核心步骤：把外网IP的80/443端口，一对一映射到内网Web服务器的对应端口。

• 右键外网接口下的“端口映射” → “新建端口映射”
• 协议：TCP；外部端口：80；内部IP地址：192.168.10.100；内部端口：80；描述可填“Web HTTP”
• 如需HTTPS，再加一条：外部端口443 → 内部192.168.10.100:443
• 勾选“仅允许来自以下IP地址的连接”可限制访问源（如只允运营商出口IP段），增强安全性

验证与排错要点

映射生效后，从外网用浏览器访问http://你的公网IP，应看到内网Web页面。常见问题：

• 访问超时：检查Windows防火墙是否放行了外网网卡的TCP 80/443入站规则（高级安全防火墙中新建入站规则）
• 返回IIS默认页而非你的网站：确认内网Web服务器绑定的是“所有未分配”或具体IP（非127.0.0.1），且站点已启动
• HTTPS证书报错：证书主体名需匹配用户实际访问的域名（如公网IP无SAN证书则浏览器会警告；建议绑定域名并申请合法证书）
• 内网用户无法用公网IP访问：属NAT回流（hairpin）限制，Windows RRAS原生不支持；解决办法是内网用户直接访问内网IP，或在DNS层面做Split DNS