向日葵不需要入站端口映射，但客户端必须能正常出站。企业网络、代理环境与防火墙策略都可能阻断连接，本文说明如何放行。
需要放行什么
客户端主要使用标准 HTTPS 出站端口与服务域名通信。只要允许出站 443 端口，绝大多数环境即可正常使用。
- 允许出站 TCP 443
- 放行客户端程序通过防火墙
- 允许相关服务域名解析
- 无需在路由器上做端口映射
代理环境
在需要代理上网的环境中，可在客户端或系统代理中配置。若代理要求认证或只放行白名单，需要把相关域名加入允许列表。
- 配置系统或客户端代理
- 代理需允许相关域名通信
- 认证型代理需填写凭据
- 建议为客户端单独放行
验证方法
可在同网络下用另一台设备（如手机热点）对比测试：若换网络后正常，说明原网络存在策略限制。
- 换网络对比测试定位问题
- 用手机热点验证是否为网络限制
- 查看客户端日志中的连接错误
- 联系网络管理员核对策略
常见问题
一定要开端口映射吗？
不需要。向日葵通过出站连接与服务端协商通信，只有在极特殊网络下才需要额外配置。
为什么直连会变成中转？
当两端网络无法建立 P2P（如对称型 NAT、严格防火墙）时会自动中转，功能不受影响但延迟会略高。