FRP内网穿透实战：从零配置到远程访问

1. 为什么需要内网穿透？

想象一下这个场景：你在家里搭建了一个NAS私有云，存了几百部高清电影；或者你在办公室电脑上跑了个数据库服务，出差时想随时查看数据。这时候你会发现——这些服务都在内网环境里，离开本地网络就完全访问不了。这就是内网穿透要解决的问题。

传统方案需要申请公网IP、配置路由器端口映射，操作复杂还受限于网络环境。而FRP就像给你的内网服务开了个"专属快递通道"，让公网用户通过云服务器中转访问你的本地资源。我去年用树莓派搭建智能家居系统时，就是靠FRP实现了手机远程控制家电，实测延迟不到100ms。

2. FRP核心组件解析

2.1 服务端与客户端分工

FRP采用经典的C/S架构：

• frps：部署在具有公网IP的云服务器上，相当于"快递中转站"
• frpc：运行在内网设备上，好比"本地快递员"

两者通过token进行身份验证，建立加密隧道。这里有个容易踩坑的点：很多新手会忽略token配置，导致连接被拒绝。建议用openssl生成强密码：

openssl rand -base64 32

2.2 配置文件详解

服务端配置frps.ini的关键参数：

[common] bind_port = 7000 # 建议改掉默认端口防扫描 token = your_secure_token dashboard_port = 7500 # 监控面板端口 dashboard_user = admin # 别用默认账号密码！ dashboard_pwd = your_strong_password

客户端配置frpc.ini的典型示例：

[common] server_addr = your.server.ip server_port = 7000 token = your_secure_token [web] # 映射本地Web服务 type = tcp local_ip = 192.168.1.100 local_port = 8080 remote_port = 6001 # 公网访问端口 [ssh] # SSH远程连接 type = tcp local_ip = 127.0.0.1 local_port = 22 remote_port = 6002

3. 手把手安装配置

3.1 服务端部署实战

以Ubuntu 20.04为例：

# 下载最新版(以v0.45.0为例) wget https://github.com/fatedier/frp/releases/download/v0.45.0/frp_0.45.0_linux_amd64.tar.gz tar -zxvf frp_0.45.0_linux_amd64.tar.gz cd frp_0.45.0_linux_amd64 # 编辑配置文件 nano frps.ini # 设置开机自启 sudo cp frps /usr/local/bin/ sudo cp systemd/frps.service /etc/systemd/system/ sudo systemctl enable frps sudo systemctl start frps

常见问题排查：

• 端口被占用：netstat -tunlp | grep 7000
• 防火墙放行：sudo ufw allow 7000/tcp
• 查看日志：journalctl -u frps -f

3.2 客户端配置技巧

Windows用户可以用nssm创建服务：

nssm install frpc "C:\frp\frpc.exe" -c "C:\frp\frpc.ini" nssm start frpc

高级功能推荐：

• 流量压缩：在[common]添加use_compression = true
• TLS加密：设置tls_enable = true
• 健康检查：添加health_check_type = tcp

4. 典型应用场景

4.1 远程开发环境搭建

作为程序员，我常用FRP实现：

1. 映射VS Code的SSH远程开发端口
2. 暴露本地MySQL测试数据库
3. 调试微信小程序需要域名访问时

配置示例：

[vscode] type = tcp local_ip = 127.0.0.1 local_port = 2222 remote_port = 6022 custom_domains = dev.yourdomain.com

4.2 家庭NAS外网访问

给群晖NAS配置穿透时要注意：

1. 先在内网测试服务是否正常
2. 为不同服务分配不同子域名
3. 设置IP访问限制更安全

[dsm] type = http local_port = 5000 custom_domains = nas.yourdomain.com http_user = your_username http_pwd = your_password

5. 安全加固指南

5.1 防扫描策略

我吃过亏的经验：

• 修改默认的7000端口为非常用端口
• 设置allow_ports限制可用端口范围
• 启用tls_only强制加密传输

5.2 访问控制方案

推荐组合拳：

1. 防火墙只放行必要端口
2. 配置fail2ban防暴力破解
3. 定期轮换token密钥
4. 监控面板加IP白名单

[common] ... authentication_timeout = 900 subdomain_host = yourdomain.com allow_ports = 6000-6010

6. 性能优化技巧

经过多次压力测试发现：

• 启用压缩后带宽节省30%，但CPU负载增加
• 多路复用(mux = true)提升并发性能
• 保持连接(pool_count = 5)减少握手延迟

监控建议：

watch -n 1 "curl -s http://localhost:7500/api/status | jq"

遇到流量突增时，可以：

1. 增加worker_count提升并发
2. 开启bandwidth_limit限流
3. 使用proxy_protocol获取真实IP

7. 故障排查手册

去年帮朋友解决的问题案例：症状：连接时断时续排查：

1. 检查服务端netstat -antp | grep frps
2. 客户端加-v参数看详细日志
3. 用tcping测试端口连通性解决：云安全组没放行UDP端口

常用诊断命令：

# 查看活跃连接 ss -tnp | grep frp # 测试端口连通 nc -zv your.server.ip 7000 # 详细日志输出 ./frpc -c frpc.ini --log_level=debug

8. 进阶玩法探索

8.1 负载均衡方案

通过DNS轮询+多台frps实现：

1. 在不同区域部署多个服务端
2. 客户端配置多个server_addr
3. 设置health_check_timeout

[common] server_addr = server1,server2 server_port = 7000,7001 health_check_timeout = 10

8.2 结合CDN加速

对于Web服务：

1. 在CDN回源地址填frps服务器
2. 配置custom_domains为CDN域名
3. 开启response_timeout适配CDN超时

注意：TCP服务不能用CDN，UDP需要特殊支持

9. 替代方案对比

与其他工具的技术选型参考：

个人建议：需要长期稳定使用选FRP，临时测试用Ngrok，组网需求考虑ZeroTier

10. 最佳实践总结

三年运维经验浓缩：

1. 配置文件版本化管理，我用Git保存历史记录
2. 重要服务配置双frpc进程做热备
3. 监控面板添加告警规则，我用的Prometheus+Alertmanager
4. 每月定期更新frp版本

性能调优参数示例：

[common] tcp_mux = true pool_count = 3 bandwidth_limit = 10MB

最后提醒：公网暴露服务务必做好权限控制，有次我忘记设密码导致爬虫刷爆流量。现在所有HTTP服务都强制Basic认证，关键端口设置IP白名单。FRP用好了是真神器，但安全细节决定成败。