内网穿透介绍

2025-10-13

1340 字约 5 分钟

...

1. 简要概念与为什么需要内网穿透

大多数家庭/公司网络在私有网（RFC1918）后面，通过 NAT 共享一个公网 IP。NAT 允许内网对外发起连接，但阻止公网主动连入。内网穿透就是建立从公网到内网的可达通道，常用于：Webhook 回调、远程演示、远程管理、IoT 设备接入、远程调试等。

2. 核心原理（三行总结）

反向连接：内网主动连到公网穿透服务器，建立一条"回路"。
中继/代理：穿透服务器把外部流量中继到内网。
P2P 打洞：尝试直接建立点对点（WebRTC/STUN），失败再回退到中继（TURN）。

3. 方案速览（对比 + 场景）

路由器端口转发 — 最简单；需路由器权限；适合单机/家用。
反向 SSH（ssh -R） — 简单、安全、适合临时演示/调试。
ngrok / localtunnel / cloudflared — 零运维，快速分享；生产慎用（限流/隐私）。
frp / gost / 自建隧道 — 可控、可扩展；需运维。
WireGuard / Tailscale / ZeroTier — VPN 风格，长期、稳定、像局域网访问。
WebRTC (STUN/TURN) — P2P 实时场景（音/视频、低延迟），实现复杂。

4. 可复制实战配置（关键代码与解释）

下面的配置都直接可复制粘贴到终端或配置文件，按注释替换域名/IP/用户名即可。

4.1 反向 SSH（临时 + systemd 自动重连）

场景：开发演示、Webhook 测试、小规模临时暴露。
要点：确保 bastion（公网服务器）/etc/ssh/sshd_config 中 GatewayPorts yes。

在内网机器上直接运行（后台保持）：

ssh -N -o ServerAliveInterval=60 -o ServerAliveCountMax=3 -R 0.0.0.0:9000:localhost:3000 ubuntu@bastion.example.com

systemd 自动重连示例（/etc/systemd/system/reverse-ssh.service）：

[Unit]
Description=Reverse SSH tunnel to bastion
After=network-online.target

[Service]
User=youruser
Environment="REMOTE_USER=ubuntu"
Environment="REMOTE_HOST=bastion.example.com"
Environment="REMOTE_PORT=9000"
Environment="LOCAL_PORT=3000"
ExecStart=/usr/bin/ssh -N -o ServerAliveInterval=60 -o ServerAliveCountMax=3 -R 0.0.0.0:${REMOTE_PORT}:localhost:${LOCAL_PORT} ${REMOTE_USER}@${REMOTE_HOST}
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

启用：

sudo systemctl daemon-reload
sudo systemctl enable --now reverse-ssh.service

4.2 frp（自建穿透 — 推荐自托管）

场景：长期自托管、映射多个服务、需要域名映射与性能可控。
组件：frps（公网服务器），frpc（内网客户端）。

frps.ini（放在公网服务器）

[common]
bind_port = 7000
vhost_http_port = 8080
dashboard_port = 7500
dashboard_user = admin
dashboard_pwd = strongpassword
# 为安全建议使用 token 或 TLS（见文档）

启动：

./frps -c ./frps.ini

frpc.ini（放在内网主机）

[common]
server_addr = <FRPS_PUBLIC_IP>
server_port = 7000
token = your-secret-token

[web]
type = http
local_port = 3000
custom_domains = demo.example.com

[ssh]
type = tcp
local_ip = 127.0.0.1
local_port = 22
remote_port = 6000

运行：

./frpc -c ./frpc.ini

4.3 Cloudflare Tunnel（cloudflared）

cloudflared tunnel --url http://localhost:3000 --hostname demo.example.com

4.4 ngrok / localtunnel

ngrok http 3000
npx localtunnel --port 3000

4.5 WireGuard（VPN 风格）

# 服务端
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>

# 客户端
[Interface]
Address = 10.0.0.2/24
PrivateKey = <CLIENT_PRIVATE_KEY>

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = <SERVER_PUBLIC_IP>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

5. 后端获取真实客户端 IP

func RealClientIP(c *gin.Context) string {
    if xff := c.Request.Header.Get("X-Forwarded-For"); xff != "" {
        parts := strings.Split(xff, ",")
        return strings.TrimSpace(parts[0])
    }
    if rip := c.Request.Header.Get("X-Real-IP"); rip != "" {
        return rip
    }
    return c.ClientIP()
}