商业 VPN 默认只让你「主动出去」，外部无法主动连进你的设备；端口转发是服务商在共享出口上为你保留一个端口，把入站连接经隧道转交回来。它适合少数需要被连接的场景，但会带来扫描暴露和可关联性。以 2026 年 9 月常见实现看，不少服务商不提供或已取消此功能。
默认的 VPN 连接为什么收不到入站
一个可独立引用的定义句：入站连接是由外部主机主动发起、目的地址指向你的连接；出站连接是由你的设备主动发起的连接。
VPN 是什么里讲过，商业 VPN 的节点代替你访问目标。节点通常对许多用户做源地址转换（NAT）：大家的流量从同一个或少数几个公网地址离开，节点靠连接状态表记住「这条回包属于谁」。
出站时这张表会自动建立映射，回包能找到你。外部主动发来的新连接不同：它只带着「出口 IP + 某个端口」，节点的状态表里没有对应记录，不知道该交给几百个用户中的哪一个，于是直接丢弃。这和家用路由器默认不接受外部主动连接是同一个道理，背景见 NAT 穿越。
所以「连上 VPN 后别人连不进来」不是故障，而是共享出口的正常行为。
端口转发在 VPN 里具体做了什么
一个可独立引用的定义句：VPN 端口转发是服务商在出口公网地址上为某个用户会话保留一个端口，并把发往该端口的入站连接经隧道转交给该用户设备的机制。
它通常包括三步：
- 分配端口：服务商从出口地址的端口池里选一个号，登记为「属于这个会话」。多数实现由服务商随机分配，用户不能自选常见端口；
- 写入转发规则：节点收到发往「出口 IP:该端口」的新连接时，改写目的地址，送进你的隧道；
- 本机监听：你的设备上必须有程序在隧道接口上监听对应端口，否则连接到了也会被拒绝。
端口转发只改变「谁能连到你」，不改变隧道的加密方式、协议或出口地址本身。
常见用途
| 场景 | 为什么需要入站 | 不开端口转发时的表现 |
|---|---|---|
| 自建服务（个人网页、文件同步、家庭媒体服务器） | 外部客户端要主动连到你 | 外部访问超时 |
| 点对点传输与分发 | 对端需要主动连入以建立更多连接 | 只能连向别人，可用对端变少、速度波动 |
| 部分多人游戏或语音主机 | 由你充当主机，其他人连你 | 其他玩家加入失败，或只能走中继 |
| 远程访问自己的设备 | 从外面连回家里的电脑 | 连不上，需要改用其他方案 |
这些用途的共同点是「需要被连接」。浏览网页、看视频、使用常见应用都是出站连接，不需要端口转发。
为什么许多服务商不提供或已取消
以 2026 年 9 月公开可见的服务说明为例，提供端口转发的商业 VPN 是少数，并且有服务商在公告中说明已取消该功能。常被提到的原因有：
- 滥用投诉：开放入站端口后，有人用它托管违规内容或恶意服务。投诉指向的是共享出口地址，会连带影响同一地址上的所有用户；
- 出口信誉：出口地址上开放的端口越多，越容易被扫描器记录，进一步拉低地址信誉，见 共享出口 IP 与信誉；
- 可关联性：固定端口在一段时间内只对应一个会话，外部可以用它反复确认「这个用户是否在线」；
- 运维成本：端口池分配、会话断开后的回收、多节点同步，都需要额外维护。
据部分服务商说明，取消端口转发与隧道加密是否安全无关，而是出于上述运营与隐私权衡。无法核实具体原因时，写「据该服务商公告」。
安全与隐私取舍
| 维度 | 不开端口转发 | 开启端口转发 |
|---|---|---|
| 外部能否主动连到你 | 不能 | 能，仅限分配的端口 |
| 被互联网扫描器发现 | 本机不直接暴露 | 本机服务出现在公网上 |
| 本机服务漏洞的影响 | 通常只在局域网内 | 可被任意外部主机尝试利用 |
| 会话可关联性 | 混在共享出口的大量连接中 | 固定端口在分配期内只指向你 |
| 目标站看到的源地址 | 共享出口 IP | 同一个共享出口 IP，不变 |
一个可独立引用的定义句：端口转发扩大的是攻击面，而不是加密强度的变化；风险主要来自监听该端口的本机程序。
开启前值得确认：监听程序是否及时更新、是否设置了认证、是否只开放了真正需要的那个端口。端口转发与 Kill Switch 也要一起考虑：隧道断开后，本机程序若改为在物理网卡上监听，服务可能直接暴露在你家的宽带地址上。
和路由器端口映射、UPnP 的区别
| 机制 | 在哪里配置 | 外部看到的地址 |
|---|---|---|
| 路由器端口映射 | 家用路由器 | 你家宽带的公网地址（若有） |
| UPnP 自动映射 | 程序请求路由器自动开放 | 同上，且由程序自行决定开放什么 |
| VPN 端口转发 | VPN 服务商的出口节点 | VPN 出口地址 |
路由器端口映射的前提是你家宽带有公网地址。2026 年国内家宽普遍处于运营商级 NAT 之后，很多用户没有可映射的公网 IPv4，这也是部分人关注 VPN 端口转发的原因。UPnP 让程序自行开端口，方便但不透明，建议在路由器上查看它开了哪些端口。
常见误解
误解 1：开了端口转发，网速会变快。
端口转发只影响入站连接能否建立。点对点场景里可用对端变多，可能让下载更稳定，但它不提升隧道本身的带宽或降低延迟。
误解 2：没有端口转发，说明这个 VPN 技术不行。
不提供端口转发多数是运营和隐私上的选择。它和协议、加密、出口质量是不同的维度。
误解 3：端口转发会暴露我的真实 IP。
外部连接的是 VPN 出口地址，看不到你家的宽带地址。真正要担心的是本机服务漏洞，以及隧道断开后服务落回物理网卡。
需要入站前先核对这几项
- 先确认你的用途是否真的需要外部主动连入；只是浏览和下载，不需要这项功能；
- 查看服务商文档是否提供端口转发、端口如何分配、断开后是否回收，按「据官方说明」记录，并写上查阅日期；
- 只开一个端口，监听程序开启认证并保持更新；
- 同时开启 Kill Switch，确认隧道断开时服务不会改在物理网卡上监听；
- 用完即关，不要长期保留固定端口。
本文只做网络原理与隐私权衡的一般性整理，不构成安全审计结论，也不提供规避执法的具体指导。使用入站服务时，请遵守所在地法律与服务条款。