Port forwarding（中文叫連接埠轉發、埠轉發）就是告訴路由器：「從外面進來、指定埠號的連線，請轉給家裡的某一台裝置」。一般上網、看影片、玩線上遊戲不需要設定，要架 Minecraft 伺服器、BT 做種、從外面連回家裡的 NAS 或監視器時才會用到。
中華電信用戶最常卡在「雙層 NAT」：數據機後面又接了自己的路由器，只在路由器開埠是沒用的，要讓路由器自己撥號，或兩層都設定。如果是透過 VPN 開埠，PrivateVPN、Proton VPN 支援 VPN 埠轉發；NordVPN 一般方案、Surfshark 不支援，ExpressVPN 只有路由器版有開埠設定，而且不經過 VPN。
這篇用白話說明 port forwarding 的用途，整理中華電信數據機、華碩、TP-Link 路由器的設定方法、怎麼測試有沒有開成功、為什麼開了還是不通，以及各家 VPN 的埠轉發支援情況。
Port forwarding 是什麼？把外面的連線導到家裡某台裝置
家裡的路由器對外只有一個 IP，但家裡有手機、電腦、遊戲機好幾台裝置，路由器會用 NAT（網路位址轉換）讓大家共用這個 IP。你主動連出去的連線（看網頁、看影片），路由器記得是誰發的，回來的資料就送得回去。
問題在「別人主動連進來」的時候。外面的玩家要連你架的 Minecraft 伺服器，連線到了路由器，路由器不知道要交給哪一台裝置，就會直接擋掉。
可以把它想成一間公司：
- 對外 IP：公司的總機號碼，外面的人只知道這支電話。
- 埠（Port）：分機號碼，每台電腦最多有 65,535 個可用的埠，不同程式會用不同的埠，例如 Minecraft Java 版的伺服器預設用 25565。
- Port forwarding：先跟總機說好「打來找分機 25565 的，一律轉給 3 樓那台電腦」，外面的人就能直接連到那台電腦上的伺服器。
設定時還會看到 TCP 和 UDP 兩種通訊協定，照你要用的程式說明選就好，不確定的話很多路由器可以選「兩者（Both）」。
什麼時候需要 port forwarding？
需要設定的情況
- 架遊戲伺服器：自己架 Minecraft 伺服器讓朋友從外面連進來，是最常見的原因。
- 主機遊戲 NAT 類型太嚴格：PS5 顯示 Type 3、Switch 顯示 D 或 F，可能要開遊戲需要的埠，各平台的埠號和檢查方式可以閱讀 NAT 類型是什麼？
- BT 做種：BT 軟體能接受別人主動連進來，可以連到更多使用者，上傳和做種會比較順。
- 從外面連回家：例如連回家裡的 NAS、監視器、Plex 影音伺服器或遠端桌面。
不需要設定的情況
一般上網、看 YouTube、Netflix、玩大部分線上遊戲都不需要 port forwarding，因為這些都是你主動連到對方的伺服器。沒有特別需求就不要開，開越多埠，家裡網路被掃描、被攻擊的機會就越多。
Minecraft 要開哪個埠？
| 版本 | 預設埠號 | 通訊協定 |
|---|---|---|
| Minecraft Java 版 | 25565 | TCP |
| Minecraft 基岩版（Bedrock Dedicated Server） | 19132（IPv6 用 19133） | UDP |
埠號可以在伺服器資料夾裡的 server.properties 設定檔修改，路由器開的埠要跟這裡設定的一樣。改成非預設埠號的話，朋友連線時要在 IP 後面加上「:埠號」。
中華電信數據機（小烏龜）怎麼設定 port forwarding？
很多人習慣把中華電信的數據機叫「小烏龜」。設定 port forwarding 之前，要先搞清楚家裡是哪一台設備在「撥號」，因為撥號的那台才拿得到中華電信給的對外 IP，埠轉發也要設在那一台。
中華電信光世代一般家用方案（非固定制）是用 PPPoE 撥號上網，一個帳號可以取得 8 個浮動 IP。常見的家裡網路架構有兩種：
情況一：只用中華電信數據機上網
如果家裡只有中華電信的數據機，Wi-Fi 也是數據機發的，代表數據機負責撥號，port forwarding 就在數據機的管理頁面設定。
中華電信沒有公開一份所有數據機通用的開埠教學，不同型號的選單名稱不一樣，通常在「NAT」「虛擬伺服器（Virtual Server）」或「Port Forwarding」這類選單裡。不知道怎麼登入或找不到選單，可以撥中華電信客服 0800-080-123 詢問你家的型號怎麼設定。
如果你用的是中華電信的 Wi-Fi 全屋通，全屋通 App 只能修改 Wi-Fi 名稱和密碼、查看連線裝置、限制上網時段，沒有埠轉發設定，一樣要回到負責撥號的數據機設定，或詢問客服。
情況二：數據機後面接自己的路由器（雙層 NAT）
數據機後面再接華碩、TP-Link 這類自己的路由器，是最容易卡關的情況。如果數據機已經撥號，路由器拿到的是數據機分配的內部 IP，等於有兩層 NAT，外面的連線會先被數據機擋下來，只在路由器開埠沒有用。
怎麼判斷：登入路由器管理頁面，看 WAN（外部網路）IP。如果是 192.168、10 或 172.16〜172.31 開頭，就是雙層 NAT。路由器的 WAN 要拿到網路業者給的實體 IP，埠轉發才會生效。
解決方法（擇一）：
- 讓自己的路由器撥號（最推薦）：數據機改成橋接模式（只負責轉換光纖訊號、不撥號），路由器的 WAN 連線類型選「PPPoE」，輸入 HiNet 帳號和密碼，帳號格式要填「[email protected]」。這樣路由器就能拿到實體 IP，只要在路由器設定埠轉發就好。數據機能不能改橋接，跟型號和有沒有綁中華電信的 Wi-Fi 服務有關，不確定可以請客服協助。
- 兩層都設定：先在數據機把埠轉發到路由器的 WAN IP，再在路由器把同一個埠轉發到要用的裝置。路由器 WAN 是內部 IP 時，前面那台 NAT 設備一定也要開同一個埠。
- 路由器改成 AP 模式：路由器只負責發 Wi-Fi，不做 NAT，埠轉發全部在數據機設定。
另外，有些人會直接用電腦撥號拿實體 IP 來架伺服器。不過 1G 以上的方案用 Windows 電腦撥號（PPPoE）可能會影響最高速度，建議透過數據機撥號。
浮動 IP 會變：搭配 DDNS 或申請固定 IP
中華電信一般家用方案給的是浮動 IP，重新撥號後 IP 可能會變，朋友原本記下的 IP 就連不到了。解決方法有兩種：
- DDNS：幫浮動 IP 綁一個固定網址，IP 變了網址會自動跟著更新。華碩路由器可以在「外部網路(WAN)」→「DDNS」免費申請一個 xxx.asuscomm.com 的網址，但路由器拿到的必須是實體 IP，DDNS 才能用。
- 申請固定 IP：中華電信非固定制可以線上申請 1 個固定 IP，申請方式和費用可以參考另一篇 固定 IP 是什麼？
華碩、TP-Link 路由器怎麼設定 port forwarding？
開埠之前，先在路由器幫要用的裝置固定內部 IP（DHCP 保留），否則裝置重開機換了 IP，轉發規則就會失效。華碩在「區域網路(LAN)」→「DHCP 伺服器」的「手動指定」設定，TP-Link 在 DHCP 伺服器的「位址保留」設定。
華碩路由器
以下是華碩路由器的設定步驟（韌體 3.0.0.4.384.40000 以後的版本）：
- 用瀏覽器打開 www.asusrouter.com 或路由器的 IP，登入管理頁面。
- 點「外部網路(WAN)」→「虛擬伺服器」。
- 把「開啟虛擬伺服器」切到 ON，按「新增設定檔」。
- 填入外部通訊埠、內部通訊埠、通訊協定，在「本地 IP 位址」選要轉發的裝置；「來源 IP」沒有特殊需求就留空。
- 按「確定」。
連續的埠用冒號表示，例如 10200:10300。另外，華碩的虛擬伺服器不支援 IPv6；有用 AiMesh 的話，所有設定都在主路由器上做。
TP-Link 路由器
- 登入路由器管理頁面。
- 新版介面點「進階」→「NAT 轉發」→「虛擬伺服器」；舊機型在「通訊埠導向（Forwarding）」→「虛擬伺服器」。
- 按「新增」，常見服務可以直接從清單選，不在清單裡就手動填外部埠、內部埠、通訊協定和裝置的內部 IP。
- 儲存並啟用。
TP-Link 有兩件事要注意：外部埠不能重複設定給不同裝置；如果要轉發 80 埠，要先把路由器管理頁面的埠改成 8080 之類的其他號碼。Deco 系列則是在 App 的「更多」→「進階」→「NAT 轉發」→「通訊埠轉發」設定。
Port forwarding 怎麼測試有沒有成功？
先把程式打開
開埠檢測網站是從外面試著連你的埠，如果電腦上的伺服器程式沒有在執行，就算埠轉發設定正確，也會顯示「關閉」。測試前先把 Minecraft 伺服器、BT 軟體或 Plex 打開。
用開埠檢測網站（port check）
- 打開 CanYouSeeMe 或 Port Checker（portchecker.co）這類開埠檢測網站，網站會自動帶入你目前的對外 IP。
- 輸入你開的埠號，例如 25565。
- 按「Check」，顯示 Success 或 Open 就代表外面連得進來。
用手機行動網路測試
最直接的測試方法，是用不在家裡網路裡的裝置測試。例如把手機的 Wi-Fi 關掉、改用行動網路，再用「對外 IP:埠號」連你的伺服器，連得上就代表成功。
開了埠還是不通？5 個常見原因
- 雙層 NAT：路由器 WAN IP 是 192.168、10、172.16〜172.31 開頭，前面還有一層數據機，照上面中華電信段落的方法處理。
- CGNAT（電信共用 IP）：路由器 WAN IP 是 100.64〜100.127 開頭，或跟開埠檢測網站顯示的 IP 不一樣，代表網路業者讓很多用戶共用同一個對外 IP，自己怎麼設都沒用，只能請業者改給實體 IP，或改用 VPN 埠轉發。一般行動網路的 SIM 卡也拿不到實體 IP，所以 4G、5G 分享器和手機熱點大多沒辦法開埠。
- 電腦的防火牆擋住：Windows 第一次執行伺服器程式時，會跳出 Windows Defender 防火牆的提示，要按「允許」；不小心按了取消，就要到防火牆設定裡允許這個程式。
- 裝置的內部 IP 變了：沒有設定 DHCP 保留，裝置重開機後換了 IP，轉發規則就指到別台去了。
- 網路業者擋特定的埠：有些網路業者會擋常見的伺服器埠，怎麼設都不通時，可以把伺服器改用其他埠號再測一次，或詢問業者。
另外，如果電腦開著 VPN，外面的人看到的是 VPN 伺服器的 IP，路由器開的埠就用不到了，這時候要改用 VPN 本身的埠轉發功能。
VPN 埠轉發是什麼？哪些 VPN 支援？
一般 VPN 為了保護使用者，會擋掉所有從外面主動連進來的連線，所以開著 VPN 時，BT 做種和開伺服器都會受影響。VPN 埠轉發是在 VPN 伺服器上幫你開一個埠，外面的人連到 VPN 伺服器的這個埠，再透過 VPN 通道送到你的電腦。
這樣有兩個好處：別人看到的是 VPN 伺服器的 IP，不會知道你家的真實 IP；連線是先到 VPN 伺服器，再走你主動連出去的 VPN 通道進來，所以家裡是 CGNAT、沒辦法開埠的人也能用。
不過支援這個功能的 VPN 不多，以下是各家 VPN 的埠轉發支援情況，粗體為支援 VPN 埠轉發的服務：
| VPN | VPN 埠轉發 | 條件與說明 |
|---|---|---|
| PrivateVPN | 支援 | 部分伺服器提供，會分配一個埠號給你，連線後在 App 裡查看 |
| Proton VPN | 支援 | 付費方案限定，要連 P2P 伺服器；支援 Windows、macOS（搶先體驗）、Linux；埠號隨機，重新連線通常會變 |
| NordVPN | 一般方案不支援 | 一般伺服器和專用 IP 都不支援，只有另外付費加購的「專屬伺服器（Dedicated Server）」可以設定 |
| ExpressVPN | App 不支援 | 只有 ExpressVPN 路由器（含 Aircove）有埠轉發設定，而且轉發的埠在 VPN 通道外、沒有 VPN 保護 |
| Surfshark | 不支援 | Surfshark 認為開埠會變成攻擊者可以利用的入口，基於安全考量不提供 |
NordVPN 的專屬伺服器是 2026 年 6 月推出的加購服務，推出時只有美國、英國、德國、法國幾個地點，用 App Store 下載的 Mac 版也不能用，對一般使用者來說門檻比較高。
適合誰用 VPN 埠轉發？
- 用 VPN 下載 BT 又想做種的人：開著 VPN 也能讓別人連進來，上傳比較順。BT 用的 VPN 比較可以閱讀 BT VPN 推薦。
- 家裡是 CGNAT，或租屋處沒辦法動數據機的人：不用處理路由器，也能讓外面連進來。
- 不想讓別人看到家裡 IP 的人：例如架 Plex 分享給朋友。
如果只是要看串流、保護公共 Wi-Fi，不需要在意 VPN 有沒有埠轉發。另外 PS5、Switch 不能直接裝 VPN App，要用 VPN 得設在路由器上，PS5 的做法可以參考另一篇 PS5 VPN 推薦。
PrivateVPN 埠轉發怎麼用？
PrivateVPN 在部分伺服器提供埠轉發，會在 VPN 伺服器上分配一個專屬的埠號給你，適合遊戲開房、BT 和 NAS 遠端連線：
- 打開 PrivateVPN App，選擇國家並連線。要架 Plex 的話，是在 App 上方切到「Dedicated IP」分頁，再選擇伺服器連線。
- 連上後，在 App 的「Port Forwarding」欄位查看分配給你的埠號。
- 把這個埠號填進 BT 軟體或 Plex 的連線設定。
支援埠轉發的伺服器會因地點不同；另外只開需要的埠，伺服器程式也要做好安全設定。PrivateVPN 所有方案都有退款保證，可以先試用看看埠轉發符不符合你的需求。
Proton VPN 埠轉發怎麼用？
Proton VPN 有免費方案，但埠轉發只有付費方案能用，支援的平台也只有 Windows、macOS、Linux，沒有手機 App。以 Windows 為例：
- 在「Countries」切到「P2P」分頁，連上任一台 P2P 伺服器。
- 在右側欄找到「Port forwarding」，打開後按「Apply」。
- 把 App 顯示的埠號填進 BT 軟體。
使用時要把 BT 軟體裡的 UPnP、NAT-PMP 關掉，避免衝突；埠轉發也不能跟改善遊戲連線的「Moderate NAT」功能同時開。
用 NordVPN、Surfshark 怎麼辦？
沒有埠轉發，開著 VPN 一樣可以下載 BT，只是比較難連到同樣沒開埠的其他使用者。如果你的需求是從外面連回家裡的電腦或 NAS，可以改用不需要開埠的虛擬區網工具，例如 NordVPN 的 Meshnet、Tailscale；Meshnet 的用法可以閱讀 NordVPN 網狀網路是什麼。Synology NAS 則有官方的 QuickConnect，不用設定埠轉發就能從外面連線，只是速度可能比較慢。
Port forwarding 安全嗎？開埠前要知道的風險
開一個埠，就等於在家裡網路開一扇門，門後的程式如果有漏洞或密碼太簡單，就可能被入侵。幾個基本原則：
- 只開需要的埠，用完就關：Minecraft 伺服器不玩了，就把那條轉發規則刪掉，並定期檢查路由器裡有沒有不認得的規則。
- 不要把管理頁面直接開在外網：NAS 管理頁、遠端桌面這類服務不要直接開放到網際網路，改用 VPN 連回家或 QuickConnect 這類官方遠端服務比較安全。
- 少用 DMZ：DMZ 會把一台裝置的所有埠都開到外網，風險最高，用了埠轉發就把 DMZ 關掉。
- 路由器、NAS 韌體保持更新，帳號密碼不要用預設值。
UPnP 要不要關？
UPnP 會讓遊戲機、BT 軟體自動幫自己開埠，不用手動設定，很方便。但它通常不需要任何驗證，家裡有一台裝置中毒，就可能偷偷幫駭客開埠。家用路由器如果沒有裝置需要 UPnP，建議把它關掉；用 UPnP 自動幫 NAS 開埠，也可能讓 NAS 暴露在風險中。
比較安全的做法是關掉 UPnP，需要的埠用手動 port forwarding 開；如果家裡主要是玩主機遊戲、不想手動設定，至少記得更新路由器韌體。
我的建議
- 只想跟朋友玩 Minecraft：在負責撥號的那台設備開 25565（Java 版）或 19132（基岩版），中華電信用戶先確認沒有雙層 NAT，再用開埠檢測網站測試。
- 數據機後面接自己的路由器：最推薦讓路由器自己撥號，埠轉發只要在路由器設一次；浮動 IP 搭配 DDNS 就能用固定網址連回家。
- 家裡是 CGNAT，或想開埠又不想曝露家裡 IP：用支援埠轉發的 VPN，我推薦 PrivateVPN，Proton VPN 付費方案也可以。
如果你用 VPN 是為了降低遊戲延遲、連到國外伺服器，而不是開埠，可以參考另一篇 遊戲 VPN 推薦。
常見問題
Port forwarding 的中文是什麼？
常見的翻譯是連接埠轉發、通訊埠轉發或埠轉發。各家路由器的叫法不一樣，華碩、TP-Link 介面上叫「虛擬伺服器」，有些路由器叫「通訊埠轉送」或「NAT 轉發」，指的都是同一件事。
Port forwarding 會讓網路變快嗎？
不會讓頻寬變大，網速還是看你申辦的方案。它的作用是讓外面能主動連進來，BT 做種可能因為連到更多使用者而變順，玩遊戲可能因為 NAT 類型改善而比較好配對。
Port forwarding 和 Port triggering 差在哪？
Port forwarding 是一直開著，外面隨時可以連進來；Port triggering（觸發埠）是你的裝置先從某個埠連出去之後，路由器才暫時打開對應的埠，用完會自動關閉。Port triggering 比較安全，但不適合要一直讓別人連進來的伺服器。
免費 VPN 可以用埠轉發嗎？
Proton VPN 的埠轉發只開放付費方案，免費方案不能用。這篇整理的 VPN 裡，埠轉發都是付費方案才有的功能。