摘要很多家庭与小型实验室内部存在大量无法安装客户端的设备NVR 监控、局域网打印机、老款 NAS、内网服务。传统公网 IP 端口映射配置繁琐还存在暴露端口的安全风险。本文实测星空组网子网路由功能借助一台网关设备在外网直接使用原有内网 IP 访问整个家庭局域网被控设备无需任何改动全程 Web 图形界面配置不需要敲路由命令。目录业务痛点传统远程内网访问存在哪些问题子网路由工作原理和传统方案对比完整实操配置流程实测验证结果典型适用场景版本限制与客观边界说明总结1 业务痛点传统远程内网访问存在哪些问题家里或实验室环境除电脑、新款 NAS 外大量硬件仅支持局域网访问网络摄像头 / NVR、打印机、老旧 NAS、智能家居网关。这些设备共性无公网 IP不支持安装第三方组网客户端。 在家内网访问一切正常但离开本地网络之后就无法连通。市面上两种传统解决手段各有短板公网 IP 端口映射需要向运营商申请公网 IP路由器配置端口转发将设备端口暴露至公网配置链路长安全风险高部分运营商不提供公网 IP。逐台设备安装组网客户端适合电脑、新型 NAS但大量老旧监控、打印机根本无法安装客户端完全无法落地。外出之后沿用设备原本内网 IP 访问内网侧设备不做任何修改尽量避免暴露端口到公网。子网路由就是为解决这类场景诞生。2 子网路由工作原理子网路由Subnet Router的核心思想内网部署一台已经接入组网的网关设备由网关负责跨网络数据包转发外部授权客户端经由加密隧道通过网关访问后端整个内网网段。整套架构分为三类角色访问客户端外出使用的笔记本、手机安装组网客户端被授权后访问远程内网网关设备部署在内网、长期开机安装星空组网承担流量转发可以是 NAS、Linux 主机、OpenWrt 路由器后端目标设备摄像头、打印机、旧 NAS零安装、零配置不需要装任何软件。技术参考逻辑对标 Tailscale Subnet Router区别在于这套方案提供中文 Web 管理界面不需要手动添加操作系统路由规则。流量路径外部客户端 → 加密组网隧道 → 家庭网关 → 家庭局域网设备返回原路回传不需要把任何端口直接暴露在公网。3 和传统方案简单对比表格方案被控设备是否需要装客户端是否需要公网 IP是否暴露公网端口配置门槛公网 IP 端口映射不需要需要是高设备逐个安装组网客户端需要不需要否中等子网路由网关转发不需要不需要否低Web 图形化操作4 完整实操配置流程实验环境网关为 Ubuntu也可直接使用群晖 / 飞牛 / 威联通 NAS访问端 Windows11目标内网网段10.10.1.0/244.1 准备工作在内网常开设备NAS / Linux / OpenWrt安装星空组网客户端作为网关群晖、飞牛、威联通提供原生套件Windows、macOS、Linux、移动端均提供对应客户端安装包。2.在外使用的访问终端笔记本、手机同样安装客户端登录同一组网账号。4.2 Web 后台配置子网路由登录星空组网 Web 管理后台进入【网络管理】→【子网路由】点击【添加子网路由】在网关下拉菜单选中刚才部署好的内网网关设备系统自动识别网卡填写内网目标网段选择对应的网卡在授权设备列表勾选允许访问该内网的客户端设备网关本身不需要勾选授权点击创建等待配置下发完成。配置完成后子网路由列表状态显示为正常代表路由规则已经生效。关键点权限是按需授权只有勾选的设备才可以访问远程内网网段账号下其他设备默认没有访问权限。4.3 客户端侧确认访问端电脑登录客户端后后台会自动下发路由条目不需要手动修改本机路由表不需要敲命令行。 可以在客户端界面确认设备处于在线状态。5 实测验证结果测试场景Windows 客户端模拟外网环境访问家庭内网 NAS 与 HTTP 服务。配置子网路由之前直接访问内网 IP访问超时无法打开配置完成客户端在线并且已经被授权Windows 浏览器直接输入 NAS 原始内网地址页面正常返回 HTTP 200可以正常打开 DSM 管理界面、Web 服务。✅现象在外网环境直接使用设备原有内网 IP 访问IP、端口完全不变和本地局域网访问行为完全一致。⚠️重要边界说明实际访问速度受家庭宽带上行带宽、运营商 NAT 环境、网关设备性能影响不是配置完就可以跑满带宽。本验证在实验室虚拟机环境完成跨公网实际效果以上线实测为准。6 典型适用场景家庭 NAS 与监控老 NVR、网络摄像头无法装客户端异地查看监控画面、访问 NAS 共享目录远程打印家里局域网打印机在外网下发打印任务小型实验室 / 工作室远程运维异地访问内网 OA、数据库、SSH 跳板机、内网 Web 服务路由器作为网关OpenWrt /iStoreOS 安装客户端作为网关直接把整个局域网接入组网。7 版本限制与客观边界说明子网路由为高级功能免费版不开放专业版支持 2 条子网路由团队、企业版支持扩容专业版起步 9.9 元 / 月授权计数规则只有访问端设备占用授权额度充当转发的网关不计入授权仅勾选需要远程接入的设备即可配额、价格会迭代更新最终以官网订购页面为准不解决宽带上行带宽不足的问题如果家庭上传带宽很小即使功能通速度依旧会受限。8 总结普通组网大多解决 “设备与设备点对点互联”子网路由解决的是一整个内网网段的远程接入问题。最大优势在于后端设备零改造原有内网 IP 完全复用Web 界面降低了子网路由的部署门槛不用记忆复杂路由命令同时通过加密隧道替代传统端口映射权限可以精细化管控。如果你手上有一堆不能安装客户端的内网设备又不想配置公网 IP 端口映射可以考虑该方案。补充提示任何远程访问内网的工具建议最小权限原则仅给必要设备开通访问权限。大家平时远程访问内网都用什么方案欢迎评论区交流