在家用路由器上设置端口转发时，你有没有遇到过明明配置了规则，外部却依然访问不了服务的情况？问题很可能出在网关路由和防火墙的关系没理清。
网关路由是“指路牌”，防火墙是“安检门”
在一个典型的家庭或小型企业网络里，路由器通常充当网关角色。它的主要任务是决定数据包该往哪里走——比如你的手机想访问百度，网关根据路由表把请求转给上级运营商网络。这个过程就像快递分拣中心按地址贴标签派送包裹。
但光有路径还不够。防火墙就站在这些路径的关键节点上，检查每一个经过的数据包是否合规。它不关心你要去哪，只关心你能不能过。比如它可能拦下所有来自外网的80端口请求，哪怕路由表已经允许这条路通向内网Web服务器。
常见冲突场景：端口映射失败
你在路由器后台设置了DMZ主机或将外网80端口映射到内网192.168.1.100，结果网页打不开。排查时发现：
- 路由规则已生效，数据包能正确转发到目标设备；
- 但目标设备上的服务明明运行正常。
这时候应该检查防火墙策略。很多路由器默认开启SPI（状态包检测）防火墙，会主动拦截未主动发起连接的入站请求。即使路由层面“指了路”，防火墙仍然可以“关门”。
企业环境中的协作逻辑
在公司网络中，边界防火墙往往集成在网关设备上，或者紧接其后独立部署。此时路由表负责将不同子网之间的流量导向正确接口，而防火墙则基于安全策略放行或阻止特定通信。
例如财务部门禁止访问互联网，网关可以通过静态路由将所有去外网的流量指向防火墙的特定策略组，由防火墙执行最终的拒绝动作。路由决定了“怎么走”，防火墙决定了“能不能走”。
配置建议：先通后控
排查这类问题时，一个实用做法是：先临时关闭防火墙或设置宽松规则测试连通性。如果此时服务恢复正常，说明问题出在防火墙上而非路由配置错误。
确认后再逐步收紧规则，而不是一开始就堆叠复杂策略导致难以定位故障点。就像修水管，先看水能不能流过去，再装阀门控制流量大小。
代码示例：Linux 下查看路由与防火墙状态
在基于Linux的网关设备上，常用命令如下：
ip route show查看当前路由表，确认是否存在目标网段的正确出口。
iptables -L -n -v列出防火墙规则，观察是否有DROP或REJECT策略影响了数据流。
有时候一条简单的规则：
-A INPUT -p tcp --dport 80 -j DROP
就能让整个Web服务对外“消失”，即便路由完全正确。
别把功能混为一谈
虽然现代设备常把路由和防火墙做在一起，但它们本质是两个层面的功能。理解这一点，才能在网络不通时快速缩小排查范围。下次遇到外网无法访问内部服务，别只盯着端口映射界面打转，看看那道隐形的“安检门”是不是把你拦下了。