参加一场网络攻防挑战赛，很多人卡在第一步：连不上靶机。其实问题往往出在端口映射没配对。下面这张流程图解，带你一步步理清关键环节。
挑战赛中的典型网络结构
大多数线上挑战赛使用 Docker 容器运行服务，选手通过公网 IP 访问。但容器默认不暴露端口，主办方得做端口映射。比如把服务器的 31337 端口转给容器的 80 端口：
docker run -d -p 31337:80 ctf-web-challenge你输入 nc challenge.com 31337，数据就通过映射进到容器里。
流程图解：从你点击“开始挑战”到成功连接
1. 你访问平台页面，点击“启动实例”
2. 后台用脚本创建容器，并绑定随机端口（如 32678 → 容器 22）
3. 平台返回你专属的连接信息：IP: 1.2.3.4, Port: 32678
4. 你用 SSH 或 Netcat 连接 1.2.3.4:32678
5. 数据经服务器防火墙、iptables 规则，转发到对应容器
如果连不上，先查三件事：
- 是否等了足够时间让容器启动？
- 端口号有没有抄错？别把 32678 写成 32687
- 防火墙是否放行了映射端口？
自己搭环境练习？别忘了这一步
本地模拟挑战赛环境，跑个 Web 服务：
docker run -d -p 8080:80 --name mock-challenge httpd打开浏览器访问 http://localhost:8080，能看到默认页，说明映射成功。换到公网服务器，就把 localhost 换成公网 IP，确保安全组放行 8080。
有些比赛还会多一层 Nginx 反向代理，原理类似，只是流量先过代理再进容器。搞清楚路径和端口对应关系，就不会迷路。