必须重启电脑才能使端口映射生效，因Windows默认禁用IPv4转发，需修改注册表启用IPEnableRouter并重启，否则netsh命令静默失败；随后配置防火墙放行端口、正确设置netsh portproxy规则（listenaddress须为本机实际网卡IP而非127.0.0.1），最后通过netsh show all和telnet验证。
要在Windows系统中让外网设备通过公网IP访问你本机运行的Web服务、远程桌面或自定义应用，必须先在系统层面开启端口映射功能，否则所有外部连接请求都会被直接丢弃。
确认并启用IP转发核心功能
Windows默认禁用IPv4数据包转发，这是端口映射生效的前提。不开启此功能，后续所有netsh命令都只会静默失败。
以管理员身份运行命令提示符，执行：
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v IPEnableRouter /t REG_DWORD /d 1 /f
这一步修改注册表后【必须重启电脑】，否则netsh portproxy无法绑定监听端口。跳过重启会导致后续步骤看似成功，实则无任何监听行为。
配置防火墙放行入站端口
即使系统转发已启用，Windows Defender防火墙仍会拦截外部发来的连接请求。
打开“高级安全 Windows Defender 防火墙”→左侧点击“入站规则”→右侧点击“新建规则”。
选择“端口”→下一步→选“TCP”，输入你要对外暴露的端口号（如8080）→下一步→选“允许连接”→下一步→全选“域”“专用”“公用”→最后命名为“PortMap_8080”并完成。
注意：如果目标服务本身监听的是127.0.0.1（如某些Node.js开发服务器），仅开防火墙还不够，必须配合netsh将请求转发到回环地址——但此时需确保监听服务已绑定0.0.0.0，否则转发后仍连不上。
添加端口映射规则
方法一：映射到本机其他端口（例如把80转到3000）
管理员CMD中执行：
netsh interface portproxy add v4tov4 listenport=80 listenaddress=0.0.0.0 connectport=3000 connectaddress=127.0.0.1
方法二：映射到局域网内另一台设备（例如把主机8080转到虚拟机192.168.50.10:22）
执行：
netsh interface portproxy add v4tov4 listenport=8080 listenaddress=192.168.28.100 connectport=22 connectaddress=192.168.50.10
【listenaddress必须填主机实际网卡IP，不能写127.0.0.1】。写127.0.0.1会导致只有本机能连，外网请求全部超时。
验证与调试
第一步：查看当前所有映射规则
netsh interface portproxy show all
第二步：检查目标端口是否已被占用
netstat -ano | findstr :80
第三步：若映射后无法访问，先用telnet本机IP 端口测试本地连通性；若不通，说明防火墙或netsh未生效；若通但外网不通，检查路由器是否做了二次端口转发或ISP封锁了该端口。
