Mở port modem (NAT port) là tạo một luật trên modem để kết nối từ Internet tới một cổng trên IP public nhà bạn được chuyển thẳng vào camera, đầu ghi hay máy chủ trong nhà. Việc này gồm 4 bước: gán IP cố định cho thiết bị, tạo luật NAT, mở tường lửa trên thiết bị, rồi kiểm tra port đã mở chưa từ bên ngoài. Trước khi làm, cần đủ 2 điều kiện. Đường truyền phải có IP public riêng, không bị nhà mạng dùng chung qua CGNAT (xem IP public và IP private khác nhau thế nào). Tài khoản của bạn cũng phải vào được mục NAT, vì modem nhà mạng có thể ẩn mục này.
Mở port modem để làm gì?
Mở port modem để thiết bị trong nhà nhận được kết nối do người ở ngoài chủ động gọi vào. Modem mặc định chặn mọi kết nối mới từ Internet vì không biết chuyển cho máy nào, luật NAT chỉ đường cho kết nối đó. Trường hợp hay gặp:
- Xem camera, đầu ghi bằng IP:port hoặc tên miền DDNS, không qua máy chủ cloud của hãng.
- Dựng server Minecraft cho bạn bè vào chơi.
- Truy cập NAS, máy chủ web đặt tại nhà.
- Chạy Pi Node cần kết nối từ các node khác.
Mở NAT port để làm gì khi đã có app? Phần lớn trường hợp là không cần. Xem camera qua app P2P chính hãng như Hik-Connect của Hikvision không phải mở port, vì camera tự kết nối ra máy chủ của hãng. Chơi game online thông thường và lướt web cũng không cần.
Kiểm tra 3 điều kiện trước khi mở port
Trước khi mở port, cần chắc 3 điều: đường truyền có IP public riêng, tài khoản của bạn vào được mục NAT trên modem, và bạn biết port cùng giao thức thiết bị đang dùng. Thiếu một trong ba thì luật NAT đúng đến đâu cũng không chạy.
Đường truyền có IP public riêng
Vào trang trạng thái của modem, tìm IP WAN, rồi so với IP hiện trên trang chủ CheckIP. Hai số trùng nhau là đạt. IP WAN nằm trong dải 100.64.0.0 đến 100.127.255.255 là dấu hiệu bị CGNAT, dải này dành riêng cho NAT cấp nhà mạng theo RFC 6598. Khi đó mở port trên modem vô tác dụng. IP WAN dạng 192.168.x.x là nhà có 2 lớp mạng, xử lý ở mục riêng bên dưới.
Vào được mục NAT trên modem
Đăng nhập trang quản trị bằng tài khoản in trên nhãn modem, theo hướng dẫn cách đăng nhập modem của từng nhà mạng. Tìm mục NAT hoặc Port Forwarding. Không thấy mục này thì gọi tổng đài nhờ mở hoặc cấu hình giúp. Đừng lên mạng tìm tài khoản khác để vào modem.
Biết port và giao thức của thiết bị
Số port nằm trong cài đặt mạng của thiết bị hoặc tài liệu hãng. Theo trang hỗ trợ của Hikvision, đầu ghi dùng cổng 80 cho trình duyệt, cổng 8000 (Server port) cho app Hik-Connect và phần mềm iVMS-4200, cổng RTSP là 554 hoặc 10554. Bảng port mặc định của camera và game có sẵn ở trang kiểm tra port. Chưa rõ khái niệm thì đọc port là gì trước.
Cách mở port trên modem từng bước
Cách mở port trên modem gồm 5 bước: gán IP cố định cho thiết bị, mở mục NAT trên trang quản trị, điền luật NAT với cổng ngoài, cổng trong, IP và giao thức, mở tường lửa trên thiết bị, cuối cùng kiểm tra bằng 4G. Tên mục khác nhau theo hãng modem, còn các trường cần điền gần như giống nhau.
Bước 1: Gán IP cố định cho camera, đầu ghi
Luật NAT trỏ vào một địa chỉ IP, không trỏ vào thiết bị. Modem tắt bật lại, đầu ghi có thể nhận 192.168.1.65 thay vì .64 và luật cũ mất tác dụng. Cách chắc nhất là gán IP theo địa chỉ MAC ngay trên modem, ở mục có tên DHCP Binding, Address Reservation, Static DHCP hoặc "Gán IP tĩnh".
Cách thứ hai là đặt IP tĩnh trên chính thiết bị. Chọn số nằm ngoài dải DHCP của modem và cùng lớp mạng với modem, nghĩa là cùng 3 nhóm số đầu với subnet mask 255.255.255.0 thông dụng. Người tìm "mở port IP tĩnh" thường nhầm ở đây: IP tĩnh cần cho mở port là IP nội bộ của thiết bị, không phải IP tĩnh public phải đăng ký với nhà mạng.
Bước 2: Mở mục NAT trên trang quản trị
Tên mục thường gặp là NAT, Port Forwarding, Virtual Server, Port Mapping hoặc "Chuyển tiếp cổng", đôi khi nằm trong Application hay Security. Với modem FPT AX3000C và AX3000Cv2, tài liệu cấu hình của FPT ghi đường dẫn Home > Network > Port Forwarding. Modem khác hãng thì dò theo các tên trên.
Bước 3: Điền luật NAT
Mỗi luật NAT gồm các trường sau, tên gọi có thể khác chút theo modem:
| Trường | Điền gì | Ví dụ đầu ghi |
|---|---|---|
| Tên luật | Tên dễ nhớ | dau-ghi-tang-1 |
| Cổng ngoài (WAN, External port) | Cổng người ở ngoài gọi vào | 8000 |
| Cổng trong (LAN, Internal port) | Cổng thiết bị đang nghe | 8000 |
| IP LAN thiết bị | IP đã gán ở bước 1 | 192.168.1.64 |
| Giao thức | TCP, UDP hoặc cả hai, theo tài liệu thiết bị | TCP |
| Kết nối WAN áp dụng | Kết nối Internet (thường là PPPoE) | Kết nối Internet |
Modem quang nhà mạng thường có nhiều kết nối WAN cho Internet, truyền hình IPTV và điện thoại VoIP. Chọn nhầm kết nối IPTV thì luật lưu được nhưng không bao giờ chạy. Mỗi cổng ngoài chỉ trỏ được 1 thiết bị. Nhà có 2 đầu ghi thì dùng cổng ngoài 8000 cho đầu ghi thứ nhất, 8001 cho đầu ghi thứ hai, cả hai cùng chuyển vào cổng trong 8000.
Bước 4: Lưu và mở tường lửa trên thiết bị
Bấm lưu (Apply hoặc Save). Một số modem cần khởi động lại mới áp dụng. Với máy tính Windows chạy server game hay NAS phần mềm, tường lửa Windows vẫn chặn kết nối dù modem đã chuyển vào, nên phải tạo luật Inbound cho đúng port. Các bước chi tiết có ở bài kiểm tra port đang mở trên máy tính. Camera và đầu ghi thường không có tường lửa riêng cần mở.
Bước 5: Kiểm tra xem đã mở port chưa
Bật thiết bị, tắt wifi trên điện thoại để dùng 4G, rồi mở công cụ kiểm tra port của CheckIP, nhập IP public và cổng ngoài. Không kiểm tra bằng wifi nhà. Nhiều modem không hỗ trợ NAT loopback, gõ IP public từ trong nhà sẽ báo lỗi dù luật đúng, dễ tưởng mở port thất bại.
Danh sách luật đang mở nằm ngay trong mục NAT của modem, kèm nút sửa và xóa.
Mở port modem Viettel, VNPT, FPT: điểm khác nhau
Mở port modem Viettel, VNPT hay FPT đều theo 5 bước trên, khác nhau ở quyền của tài khoản khách hàng và nơi tìm mục NAT. Modem quang của cả 3 nhà mạng vừa là modem vừa là router, nên luật NAT tạo thẳng trên modem này. Mục nào bị khóa thì chỉ nhà mạng mở được.
Modem Viettel
Đăng nhập bằng tài khoản in trên nhãn modem. Các mục WAN và bridge bị khóa với tài khoản khách hàng. Một số đời modem không hiện mục NAT với tài khoản này. Khi đó gọi tổng đài Viettel 18008119 nhờ cấu hình.
Modem VNPT
Tương tự Viettel, tài khoản trên nhãn đủ để đổi wifi, còn WAN, bridge, VLAN bị khóa. Mở port làm trên trang quản trị modem qua trình duyệt. Không tìm thấy mục NAT thì gọi VNPT 18001166.
Modem FPT
App Hi FPT không có chức năng mở port: tài liệu chính thức của FPT về tính năng modem trên Hi FPT chỉ có khởi động lại modem, tắt mở wifi, đổi mật khẩu và đổi tên wifi. Mở port phải vào trang quản trị. Ví dụ trong tài liệu cấu hình AX3000C của FPT mở cổng 8181 cho camera có IP 192.168.100.215. Cần hỗ trợ thì gọi FPT 1900 6600.
Mở port qua 2 lớp mạng (modem nhà mạng và router riêng)
Mở port qua 2 lớp mạng nghĩa là tạo luật NAT trên cả modem nhà mạng lẫn router riêng phía sau, vì kết nối từ ngoài phải đi qua 2 lần NAT. Dấu hiệu nhận biết: IP WAN trên trang trạng thái của router TP-Link, Tenda nhà bạn có dạng 192.168.x.x thay vì IP public. Có 3 cách xử lý.
Cách 1: NAT 2 lần. Ví dụ đầu ghi 192.168.0.64 cắm sau router riêng:
- Trên modem nhà mạng: cổng 8000 chuyển vào 192.168.1.2, là IP WAN của router riêng. IP này phải được gán cố định trên modem.
- Trên router riêng: cổng 8000 chuyển vào 192.168.0.64, là đầu ghi.
Cách 2: mở port DMZ, tức đặt router riêng làm máy DMZ của modem nhà mạng. Mọi kết nối không có luật sẽ đổ về router riêng, rồi router riêng xử lý theo luật của nó. Cách này chấp nhận được vì router riêng vẫn còn tường lửa. Không bao giờ đặt camera hay máy tính vào DMZ.
Cách 3: nhờ tổng đài chuyển modem nhà mạng sang bridge để router riêng tự quay PPPoE và nhận IP public. Nếu chỉ có 1 đầu ghi, cách gọn nhất là cắm thẳng vào modem nhà mạng và NAT 1 lần.
Modem không NAT port được do CGNAT: làm gì?
Modem Viettel không NAT port được, hay modem FPT, VNPT cũng vậy, thường do đường truyền bị CGNAT: nhà mạng cho nhiều thuê bao dùng chung một IP public, nên kết nối từ ngoài bị chặn trước khi tới modem nhà bạn. Luật NAT trên modem lúc này vô dụng, kiểm tra từ ngoài luôn báo bị lọc.
Các lựa chọn khi gặp CGNAT:
- Gọi tổng đài hỏi có cấp được IP public cho đường truyền không. Kết quả tùy nhà mạng và khu vực.
- Đăng ký IP tĩnh, dịch vụ có phí.
- Mở port IPv6 nếu đường truyền có IPv6. IPv6 không cần NAT, nhưng tường lửa IPv6 của modem thường chặn chiều vào, phải tìm mục cho phép trên modem. Điện thoại xem từ xa cũng phải có IPv6.
- Xem camera qua app P2P chính hãng, không cần mở port.
- Dùng dịch vụ đường hầm (tunnel) hoặc mạng riêng ảo dạng mesh. Thiết bị tự kết nối ra ngoài nên chạy được sau CGNAT, nhưng dữ liệu đi qua máy chủ bên cung cấp.
Mở port sim 4G thường không được. Mạng di động đặt thuê bao sau CGNAT, nên camera 4G hay bộ phát wifi dùng sim không có IP public để nhận kết nối vào.
UPnP trên modem: có nên bật?
Chỉ nên bật UPnP khi có thiết bị cần nó và tắt khi không dùng. UPnP cho phép thiết bị hoặc phần mềm tự xin modem mở port, không hỏi bạn. Máy chơi game console và một số game dùng cách này, nên không cần tạo luật NAT bằng tay.
Pi Node cũng dùng UPnP từ bản 0.6.2. Bài đăng ngày 14/08/2026 trên blog Pi Network về Pi Node 0.6.2 viết rằng bản này hỗ trợ UPnP để tự mở các port Node cần, trên router có hỗ trợ. Rủi ro là phần mềm độc hại trong máy cũng tự mở port được. Nếu modem có trang liệt kê port UPnP đã mở, thỉnh thoảng vào xem. Node chạy rồi thì check port Pi Node từ bên ngoài để chắc các port đã thông.
Mở port có nguy hiểm không?
Mở port có rủi ro vì mỗi port mở là một cửa vào nhà, và máy quét tự động trên Internet dò port liên tục. Port trỏ vào thiết bị cập nhật firmware, mật khẩu mạnh thì rủi ro thấp. Port trỏ vào camera còn mật khẩu mặc định thì người lạ vào được. Giữ an toàn bằng 5 việc:
- Chỉ mở port thật sự cần, mỗi luật trỏ đúng 1 thiết bị.
- Không mở port trang quản trị modem, port 3389 của Remote Desktop ra Internet.
- Đổi mật khẩu mặc định của camera, đầu ghi và cập nhật firmware.
- Xóa luật NAT khi không dùng nữa.
- Kiểm tra định kỳ các port đang mở từ bên ngoài.
Muốn quản trị từ xa, dựng VPN trên router hoặc NAS rồi chỉ mở port của VPN. Chỉ mở và kiểm tra port trên mạng bạn quản lý. Quét IP người khác khi chưa được phép có thể vi phạm pháp luật.
Mở port rồi vẫn không vào được: lỗi hay gặp
Mở port rồi vẫn không vào được thì so hiện tượng với bảng dưới. Đây là các lỗi riêng của modem nhà mạng, khác 6 nguyên nhân phổ biến ở trang kiểm tra port. Nhiều lỗi nằm ở cách kiểm tra hoặc cấu hình modem, luật NAT vẫn đúng.
| Hiện tượng | Nguyên nhân | Cách xử lý |
|---|---|---|
| Vào được bằng 4G, gõ IP public trong nhà thì lỗi | Modem không hỗ trợ NAT loopback | Trong nhà xem bằng IP LAN, ngoài nhà dùng IP public |
| Luật đúng nhưng không chạy trên modem quang | Gắn nhầm kết nối WAN IPTV hoặc VoIP | Chọn kết nối Internet |
| Hôm qua xem được, hôm nay không | IP public đổi sau khi modem kết nối lại | Dùng tên miền DDNS của camera (DDNS không giúp được khi bị CGNAT) |
| Mất hết luật NAT | Reset modem hoặc nhà mạng cập nhật cấu hình | Tạo lại luật, nên chụp ảnh luật để lưu |
| Không thấy mục NAT | Tài khoản khách hàng bị giới hạn | Gọi tổng đài |
| Port 80 không vào được | Trùng trang quản trị từ xa của modem hoặc bị chặn | Đổi cổng ngoài sang số khác |
| Port UDP báo đóng | Công cụ kiểm tra theo TCP | Mở port UDP thì thử bằng ứng dụng thật qua 4G |
Còn lỗi thì dò tiếp 6 nguyên nhân thường gặp ở trang kiểm tra port đã dẫn ở đầu bài.
Câu hỏi thường gặp
Mở port có làm mạng nhanh hơn không?
Không. Mở port không đổi tốc độ tải hay độ trễ của đường truyền. Luật NAT chỉ cho phép kết nối từ ngoài đi vào một thiết bị. Một số game báo loại NAT thoáng hơn sau khi mở port nên dễ vào phòng chơi hơn, nhưng tốc độ mạng vẫn như cũ.
Mở port có mất phí không?
Tự mở port trên modem nhà mình thì không mất phí. Chi phí chỉ phát sinh khi bạn cần IP tĩnh hoặc IP public riêng từ nhà mạng, ví dụ đường truyền đang bị CGNAT. Mức phí do từng nhà mạng quy định, hỏi tổng đài để biết giá hiện tại.
Một port mở cho 2 camera được không?
Không. Mỗi cổng ngoài trên modem chỉ chuyển vào 1 thiết bị. Với 2 camera cùng nghe cổng 554, tạo 2 luật: cổng ngoài 554 vào camera thứ nhất, cổng ngoài 555 vào cổng 554 của camera thứ hai. Khi xem từ xa, camera thứ hai gọi bằng cổng 555.
Reset hay đổi modem có mất luật NAT không?
Có. Reset về cài đặt gốc xóa toàn bộ luật NAT, gán IP theo MAC và cả DMZ. Đổi modem mới cũng phải tạo lại từ đầu. Trước khi reset, chụp ảnh danh sách luật trong mục NAT để làm lại nhanh.
IP public đổi thì có phải mở port lại không?
Không cần sửa luật NAT, vì luật trỏ vào IP nội bộ của thiết bị. Thứ thay đổi là địa chỉ bạn gõ để vào từ xa. Dùng tên miền DDNS trên camera hoặc đầu ghi để tên miền tự theo IP public mới, khỏi phải dò lại IP mỗi lần modem kết nối lại.
