关于路由器里那个叫UPnP的开关，网络教程和安全讨论给出了完全相反的建议：打游戏的让你开，讲安全的让你关。到底听谁的？先弄明白它干什么。
它是自动化的引路人
UPnP做的事一句话：局域网里的设备需要外面能访问到它时，不再要求你去路由器上手动配端口转发，而是设备自己向路由器申请，路由器自动记一条放行规则。游戏主机开始联机就自动开它要用的端口，退出联机再收掉；NAS推送媒体、看家设备回传画面、点对点大文件传输，用的都是这个机制。
不开UPnP，家里每台需要外部可达的设备都要查端口清单、手动配转发。设备一多，这件事对普通用户基本不可完成——这就是UPnP存在的理由。
代价是什么
自动化的另一面是：门由设备开，不由人开。具体的风险是三件事：
- 规则残留。设备卖了、退网了，它申请的放行规则还挂在路由器里。两三年攒下来，后台里一堆没人认领的“历史门”。
- 不问申请人。UPnP协议本身不校验请求者身份。家里如果有任何一个程序不该去申请外部端口（捆绑软件、老旧固件的杂项服务），路由器照样给它开。
- 固件层的老毛病。UPnP是历史上出过不少漏洞的服务实现，路由器固件常年不更新的话，这个自动开门的服务就成了可被利用的入口。
分开两种场景给答案
游戏家庭：开，但要管。UPnP带来的联机便利性是实打实的——没有它，主机端口问题能让“匹配失败”变成日常。风险控制靠盘点：每隔一两个月进路由器后台，看一遍UPnP自动转发列表，把不认识的、确定已退役的设备条目删掉；固件按季度更新。两个动作十分钟，能消掉绝大部分隐患。
门店和工作室：关，手动按清单放行。经营场所的每一个开放端口都该有出处：哪个系统需要、什么端口、给谁访问。UPnP“设备按需自己开门”的逻辑跟账目化管理正好相反；关闭它对不需要外部可达的系统零成本。手动放行的正确姿势是三步：先在系统侧问清“需要哪个端口、给哪个服务用”，再在路由器按端口逐项做映射，最后写进台账，退役一条删一条。清单外的端口，一个都不开。
客用网络：永远别让它碰转发。路由器给客用SSID开设备隔离，客用设备上任何转发请求不应被接受——多数路由器默认如此，值得去后台确认一眼。
两个常见误区
- UPnP解决的是“连不上”，不是“慢”。开了UPnP游戏还是卡，问题去NAT类型和上行带宽那边找。
- 图省事把设备整个放进DMZ，比开UPnP激进得多——UPnP是按需开一扇，DMZ是把这栋楼的门全拆了。除非短期应急，不做。
动手之前的三十秒准备
不管你最后选哪条路，进后台之前先花半分钟做两件事：拍下路由器当前的端口转发现状（多数固件支持导出配置，导一份存着），把家里设备的用途在纸上列一列——哪台需要外面连进来、哪台纯内网。有了这两样，UPnP的转发列表你才盘得动：删每条规则之前知道它对应哪台设备，不用担心误伤。盘点之所以在很多家庭落不了地，不是懒，是压根不知道每条规则是谁申请的。
所以这个问题没有统一答案，只有场景答案：游戏家庭开着它、每月盘一次；经营场所关掉它、按清单逐个放行。让开关配得上你管理它的时间和能力，就是正确的用法。