Skip to main content
If your ISP put you behind carrier-grade NAT (CGNAT), you cannot forward a port to your machine — there is no per-customer public IPv4 address to forward it to. Run the tokios-connector next to your model instead: it dials out to https://api.tokios.com, so it needs no public IP, no port forward, and no router or ISP change. You get back one stable, authenticated endpoint you can call from anywhere.
由于缺少公网 IP 与可转发的端口，入站请求会被网络服务商的 CGNAT 防火墙拦截；而 tokios-connector 主动发起的连接则能顺利穿过防火墙并抵达 Tokios 网关。

所有入站连接都会在网络服务商的 CGNAT 处被阻断，因为根本不存在可转发的端口。而连接器主动发起的对外连接则可顺利通过。

​
您是否处于 CGNAT 环境下呢？

只需花费 2 分钟即可确认。打开路由器的管理页面，查看其 WAN（或 Internet）地址，随后将该地址与 ifconfig.me 这类网站显示的公网地址加以比对：
  • WAN address between 100.64.0.0 and 100.127.255.255 — you’re behind CGNAT. That range (RFC 6598) is reserved specifically for carrier-grade NAT.
  • 位于私有范围内的广域网地址（10.x.x.x、172.16–31.x.x、192.168.x.x）——在您的路由器之上还存在另一层网络地址转换机制，该机制同样会阻止入站流量。
  • WAN address matches the public address — you have a real public IP, and classic port forwarding is at least possible (though it still leaves your model API unauthenticated on the open internet).
只要符合上述前 2 种情形中的任意一种，无论如何调整路由器设置都无法让入站流量抵达您的机器——请继续阅读下文。

​
为何 CGNAT 会阻碍端口转发功能

端口转发的原理是向路由器发出指令：“凡是发往我的公网 IP 且端口号为 X 的流量，都应转发至局域网内的指定设备。”这一机制的前提是路由器本身拥有独立的公网 IPv4 地址。 但在 CGNAT 机制下情况截然不同。由于互联网服务提供商所服务的用户数量远超可分配的公网 IPv4 地址总量，因此服务商将大量用户置于同一公网 IP 之下，仅向各家庭分配私有地址。此时路由器所谓的“公网端”实际上只是服务商内部网络中的另一个私有地址，根本不存在可供端口转发规则使用的唯一公网入口地址。 这意味着：
  • 无论您如何配置路由器，都无法开放 11434 端口（或任何其他端口）以接收入站流量。
  • 用户自身无法解决此问题——这属于服务商网络设备的配置范畴，与用户端的设置无关。
  • 虽然有时可联系服务商申请专属公网 IP（通常需付费升级至企业级套餐），但此操作无法由用户自行完成，且服务商也未必提供此类服务。
正因如此，对绝大多数家庭网络而言，“直接开放端口”根本不可行。于是才催生了租用虚拟专用服务器中转流量、或搭建反向 SSH 隧道等变通方案——这些方案均需要额外维护一台全天候运行的服务器才能实现入站连接。相比之下，仅使用出站连接的方式则能彻底规避此类问题。

​
星链网络、5G 及公寓区网络服务商

CGNAT 绝非个别现象——许多网络类型默认采用此机制：
  • Starlink 将常规住宅服务置于 CGNAT 之后；只有高级服务套餐才提供公网 IPv4 地址。若您打算通过 Starlink 网络来部署模型，那么从第 1 天起便无法设置端口转发了。
  • 4G/5G 家庭宽带（如 T-Mobile Home Internet 等）几乎全部采用 CGNAT 机制，普通用户套餐根本无法获取公网 IP。
  • Apartment and fiber ISPs that hand you a building-shared or ISP-NATed address behave the same way.
下文介绍的仅出站模式在所有此类环境中均可正常运行，因为该连接器根本不需要任何入站连接路径。

​
仅出站模式的解决方案

该 tokios-connector 从不监听任何入站流量。它会向 Tokios 发起一个 wss:// 类型的对外连接，此连接方向与浏览器加载网页时的方向一致，因此 CGNAT、路由器的 NAT 机制以及大多数防火墙都不会将其视为异常流量。
1

像往常一样在本地运行您的模型即可。

以常规方式启动后端服务即可——无需配置 OLLAMA_HOST=0.0.0.0，无需设置绑定至所有接口的标记，也无需改动路由器设置。以 Ollama 为例：
保持 http://127.0.0.1:11434 的默认监听状态即可（这也是 Ollama 的默认设置）。Tokios 同样兼容 llama.cpp、vLLM 以及 LM Studio——详情请参阅 支持的后端列表。
2

配对连接器

登录 tokios.com/console 后进入 Setup 页面并点击 Start pairing。此时 Tokios 会生成一个一次性使用的 令牌 代码 TKS-XXXX-XXXX，该代码的有效期约为 15 分钟。在运行模型的设备上，执行对应操作系统的安装命令即可。
Windows
macOS
Linux
若您已安装 tokios-connector，则直接输入该代码即可。
Back in the console, approve the device on the Setup or Connectors tab. The connector’s token is delivered over the tunnel once approved — you never see it on screen or paste it into a file.
3

执行一次部署注册

在 Models 选项卡中，注册您本地的模型并选定一个 公开名称——例如 llama3-tunnel。客户端在每次请求时都会发送此公开名称至 model 字段，而非后端所用的本地模型 ID。
4

生成 API 密钥

同样在 Keys 选项卡下点击 Create key。您可选择性地通过模型名称匹配规则限定该密钥的适用范围（使用逗号分隔的通配符模式，输入 * 即代表全部模型）。请即刻复制 sk-tok-… 令牌——该内容仅显示一次。
整个流程中您的路由器、互联网服务提供商或公网 IP 地址均无关紧要。连接器已成功发起连接请求，控制台亦予以批准；自此您的模型即可通过 Tokios 的端点被调用，完全不受本地网络环境影响。

​
随时随地调用服务

所有情况下 model 字段均需填写您注册的 部署 名称，切勿填入后端模型 ID。关于如何跨会话持久化环境变量，请参阅 使用 Claude Code 指南。
即便是极为严苛的企业或校园防火墙，也会产生与 CGNAT 类似的问题：即便用户拥有公网 IP，入站连接仍会被拦截。由于连接器仅能主动发起 wss:// 类型的出站连接，该机制同样适用于此类网络环境，且无需提交任何例外申请。

​
模型始终驻留于本地硬件——而您的服务端点则具备全网络可达性

CGNAT 机制导致您的网络对外连通性完全由互联网服务提供商掌控。若试图借助租用中继设备或反向 SSH 隧道绕过此限制，则需额外配置并加固独立服务器。连接器彻底消除了入站连接需求：只需一次主动连接请求与控制台授权，此后 https://api.tokios.com 便成为客户端稳定调用的地址——完全不受 ISP 对 IP 地址的管控影响。

快速入门

完成连接器配对并完整注册首个模型。

隧道技术对比 Tokios

了解 Tokios 在处理大语言模型流量传输方面与 Cloudflare Tunnel、ngrok 以及 Tailscale 相比有何优劣。

何时应当选用 Tokios

CGNAT 只是诸多限制条件之一；此决策框架还涵盖了其他因素：团队规模、连接器兼容性、网络隔离需求，以及何时更适合选用其他工具。