家里的NAS想在外面访问、本地开发的网站想给客户演示、公司内网的服务要远程连——这些”内网服务想被公网访问”的需求,都可以用内网穿透解决。而实现内网穿透,你需要一台有公网IP的服务器作为”中转站”。本文用frp这个主流工具,手把手教你搭建。
一、内网穿透的原理:一个公网中转站
家里/公司的设备通常没有公网IP(在运营商的NAT后面),外网无法直接访问。内网穿透的思路是:租一台有公网IP的服务器,让内网设备主动连上它建立隧道,外网访问服务器的某个端口,流量就通过隧道转发到内网设备。这台公网服务器就是穿透的关键——它需要稳定、低延迟。香港VPS(¥30/月起、CN2线路国内访问快、24小时免费试用)非常适合当这个中转站。
二、frp是什么?
frp(Fast Reverse Proxy)是最流行的开源内网穿透工具,分两部分:frps(服务端,跑在公网服务器)和frpc(客户端,跑在内网设备)。支持TCP、HTTP、HTTPS等多种穿透方式。
三、服务端配置(公网VPS上)
从frp的GitHub下载对应版本,解压后编辑服务端配置 frps.toml:
bindPort = 7000 # frp通信端口
auth.token = "你的强密码token" # 客户端和服务端要一致,防止别人蹭用启动并放行端口:
./frps -c frps.toml
# 防火墙放行 7000 及你要用的转发端口建议用systemd托管让它常驻(参考博客的服务托管方法)。
四、客户端配置(内网设备上)
以把内网的NAS(假设内网IP 192.168.1.10 的网页端口5000)发布到公网为例,编辑 frpc.toml:
serverAddr = "你的VPS公网IP"
serverPort = 7000
auth.token = "你的强密码token" # 与服务端一致
[[proxies]]
name = "nas-web"
type = "tcp"
localIP = "192.168.1.10"
localPort = 5000
remotePort = 6000 # 公网访问用的端口启动 ./frpc -c frpc.toml 后,外网访问 你的VPS_IP:6000 就等于访问了内网NAS的5000端口。穿透成功。
五、进阶:用域名 + HTTPS访问
直接用IP:端口不够优雅也不安全。进阶做法:frp配合Nginx反向代理,把 nas.你的域名.com 反代到frp的转发端口,再上SSL证书。这样就能用漂亮的域名+HTTPS访问内网服务了(参考博客的Nginx反代和SSL教程)。
六、安全加固(务必重视)
内网穿透等于给内网开了个公网入口,安全不能马虎:
- 必设token:防止别人连你的frps蹭穿透;
- 被穿透的服务本身要有鉴权:发布出去的NAS、网站要有强密码,别裸奔;
- 只穿透必要的服务和端口,最小化暴露面;
- 敏感服务加白名单或额外认证,考虑配合下面要提的私有网络方案。
结论
frp内网穿透让你随时随地访问家里和公司的内网服务,核心是一台稳定的公网中转服务器。开一台免费试用的香港VPS当frps,十分钟就能把你的NAS或本地服务发布到公网。记住安全底线:token必设、被穿透的服务必须有自己的鉴权。
