frp内网穿透实战：从NAT原理到远程访问配置全攻略

发布时间：2026/10/1 9:34:36来源：尧图网络

1. 内网穿透的本质为什么家用宽带常常“没有公网IP”1.1 IP地址短缺与NAT的现实困境很多人在第一次接触frp之前会先遇到一个让人很困惑的问题明明家里的路由器有公网IP但我从外面怎么也连不回去这个问题说穿了不复杂。IPv4地址一共就43亿个左右全球设备的数量早就把这个池子撑爆了。运营商为了在有限的IP池里容纳更多用户采用的是将多位用户放在同一个“大内网”里再由运营商侧的路由设备统一做一层转发。这种情况下你从路由器里看到的IP地址是100.64.x.x、10.x.x.x之类的保留地址段并不是真正意义上的公网IP。即使你在路由器里配置了端口映射外面也永远摸不到这台设备。这就是NAT网络地址转换的局限。NAT本身是为了缓解IPv4枯竭而设计的过渡手段它允许一个公网IP背后挂几十上百台设备但代价是外网主动发起的连接无法直接抵达内网设备。常见的情况可以按NAT类型粗略分一下锥形NATFull Cone / Restricted Cone只要内网设备主动访问过外网某个地址后续这个外网地址就能顺着会话打回来穿透相对容易。对称NATSymmetric NAT每次会话映射的公网端口都不一样外部几乎不可能主动连进来很多P2P打洞方案在这种环境下直接失效。相比之下frp走的是“反向连接”的思路不依赖你是哪种NAT类型。内网机器主动向公网服务器发起一条长连接之后所有外部流量都通过这条已经建立的连接转发。理解这一点很重要因为它决定了frp这种方案几乎在所有网络环境下都能稳定工作没那么看脸。1.2 frp为什么能做到穿透要理解frp的工作原理可以类比成小区门卫的传达室。你在家里没有对外公开的门牌号但你主动给传达室打了个电话说“我是三栋502有事您打这个电话找我”。之后外面有人想找你只需要把东西放到传达室传达室再通过那条还保持通话的线路转给你。frp的架构就是这个逻辑frps服务端部署在有公网IP的服务器上相当于“传达室”。frpc客户端部署在你家里的内网机器上启动后主动连上frps并维持这条连接不掉线。外部用户访问服务器上的某个端口frps会把流量封装后通过这条隧道转给内网机器上的frpc再由frpc转交给本机或局域网里的目标服务。frp内部其实会把连接拆成两类一类是控制连接负责握手、认证、心跳保活另一类是工作连接负责实际传输数据。控制连接保证了隧道不会断工作连接负责转发具体业务流量。分层设计与心跳机制配合让frp在公网环境不稳定、运营商做连接空闲回收的情况下也能尽量长时间稳定运行。1.3 frp对比ngrok、樱花内网穿透的方案取舍市面上做内网穿透的工具有不少单是热词里就同时出现了ngrok、樱花内网穿透和frp。我这里用一张表直接对比方便你判断该选哪个方案是否需要自备服务器配置灵活度稳定性与速度适合场景frp需要高TCP/UDP/HTTP/HTTPS全支持取决于自己的服务器可控性最强自托管、长期使用、端口类型复杂ngrok官方SaaS不需要自部署需要中等官方服务功能受限于免费套餐免费版限速、域名随机开源版部署有一定学习成本临时演示、快速分享本地服务樱花内网穿透不需要低多为平台预设的端口和协议免费用户限速明显高峰期排队小白快速体验、临时使用我个人的建议是如果你手头已经有一台云服务器或者愿意花几十块钱买一台低配VPS那frp几乎是唯一认真考虑的选择。它完全开源、没有流量限制、没有额外的平台层限制想开多少端口开多少想用什么协议用什么协议。ngrok和樱花这类托管服务适合不想折腾服务器的人但它们本质上是把你内网服务的流量转经别人的服务器能做的定制化非常有限。2. 动手前的准备工作一台公网服务器是绝对的刚需2.1 服务器选型与带宽选择frp的模式决定了你首先得有一台具备公网IP的服务器。这不是可选项是必选项。没有这台服务器frp的客户端就不知道该往哪里连整个链路就建立不起来。服务器选型上有几点比较实在的经验系统优先选Debian 11/12或Ubuntu 20.04 LTS以上版本坑最少教程资料也最全。配置不用高1核1G内存跑frps完全够用frp本身占用资源极低。带宽按实际需求选。如果只是SSH远程登录1Mbps的带宽绰绰有余但如果要穿透看NAS里的视频或者远程桌面办公至少需要5Mbps以上上行带宽否则画面会非常卡。国内服务器访问快但域名备案是绕不开的问题海外服务器不用备案但延迟稍高。这里没有绝对答案看你主要从哪个位置访问。选服务器的时候还有一个很容易忽略的点安全组。腾讯云、阿里云、华为云这类平台除了服务器操作系统本身的防火墙还有一层云平台级别的安全组规则。你买了服务器以后一定要去控制台把需要用到的端口放行。好多人折腾了半天frp连不上最后发现就是安全组没放行端口这一条必须提前做好。2.2 域名与解析如果只做TCP层面的穿透比如SSH、远程桌面、自定义端口不强制需要域名。但如果你打算穿透HTTP服务、做多个Web站点或者以后想上HTTPS那就强烈建议准备一个域名。域名的作用在这里不是必须而是让访问入口更规整。比如有三台内网机器要提供不同的Web服务没有域名就只能用三个不同的端口去映射访问地址写成 http://服务器IP:8080、http://服务器IP:8081不仅难记浏览器还可能因为非标准端口做一些奇怪的兼容处理。有域名以后frp支持根据Host头做路由转发三个服务用一台服务器、同一个80端口通过三个子域名区分访问体验好很多。域名解析很简单添加一条A记录把域名指向你的服务器公网IP即可。CDN和代理这类中间层在穿透场景下不建议开因为它们会干扰frp对Host头的识别。2.3 frp版本选择与下载前需要知道的事frp的版本迭代比较快目前在GitHub上发布的最新稳定版通常以v0.5x.x、v0.6x.x的形式出现。下载时最重要的一条铁律服务端和客户端的版本必须一致。frp在握手阶段会做版本匹配不一致的话经常会出现连接被重置、认证异常这类问题。另一个常见坑是配置格式。frp在v0.52.0之前使用的是INI格式frps.ini / frpc.ini之后逐步转向TOML格式frps.toml / frpc.toml。如果你在网上随便搜到一篇教程里面写的是ini后缀的配置那就需要确认对应的frp版本。我推荐直接下载最新的release版本用toml格式编写配置。下载前先用命令确认服务器架构uname -m输出x86_64就是amd64架构输出aarch64就是arm64架构。下载时选择对应版本避免下载错了跑不起来。以v0.61.0为例Linux x86服务器下载的就是 frp_0.61.0_linux_amd64.tar.gzMac m系列芯片则下载 frp_0.61.0_darwin_arm64.tar.gz。3. 服务端部署frps的安装与配置3.1 服务端配置文件详解frp解压后目录下会同时包含frps和frpc两个二进制以及对应的.toml配置文件。服务端只需要关心frps和frps.toml。为了让配置结构清爽我通常会单独建一个目录来放frpmkdir -p /opt/frp cd /opt/frp wget https://github.com/fatedier/frp/releases/download/v0.61.0/frp_0.61.0_linux_amd64.tar.gz tar -xzf frp_0.61.0_linux_amd64.tar.gz mv frp_0.61.0_linux_amd64/* .然后编辑frps.toml。下面这份是我在实际环境中长期使用的配置参数不多但覆盖了最关键的部分bindPort 7000 auth.method token auth.token 换成你自己的超长随机字符串 webServer.addr 0.0.0.0 webServer.port 7500 webServer.user admin webServer.password 强密码 webServer.enableDashboard true逐一解释这些参数在干什么bindPortfrps监听的控制端口客户端就是连这个端口完成注册。生产环境不建议用默认端口改成四位数以上的高位端口能少挨很多扫描。auth.method与auth.tokenfrp的认证方式。token相当于客户端和服务端共享的密钥必须一致才能建立连接。token字符串越长越乱越安全直接用openssl rand -hex 16生成一个最省事。webServer.*frp自带的Dashboard监控面板可以看到当前在线客户端、代理列表、流量统计。addr设置成0.0.0.0意味着外部可以访问这方便查看但也意味着别人能猜这个端口和密码所以密码一定要强并且建议配合防火墙限制来源IP。注意Dashboard的端口和bindPort不要混用。bindPort是frp隧道协议专用的控制端口webServer.port是HTTP监控面板端口两者各自独立。配置好以后先用前台模式跑一下验证配置有没有语法错误cd /opt/frp ./frps -c ./frps.toml如果输出一段带“frps”字样的日志并且没有报错就可以CtrlC停掉进入下一步做systemd托管。3.2 用systemd管理frps进程frps不能一直用nohup挂着不管服务器重启后进程就丢了。正确做法是交给systemd托管让它在开机时自动拉起异常退出后自动重启。在 /etc/systemd/system/frps.service 中写如下内容[Unit] Descriptionfrp server Afternetwork.target [Service] Typesimple ExecStart/opt/frp/frps -c /opt/frp/frps.toml Restartalways RestartSec5 [Install] WantedBymulti-user.target之后依次执行systemctl daemon-reload systemctl enable frps systemctl start frps systemctl status frpsExecStart里的路径要写对这是最常见的出错点。如果status显示failed用 journalctl -u frps -e -n 50 查看具体日志。启动后验证端口监听状态ss -lntp | grep -E 7000|7500看到LISTEN状态就说明服务端已经就绪。到这里隧道的一端已经准备好了。3.3 服务端安全加固要点frps暴露在公网上安全不能马虎。我踩过几次坑后总结出下面几条硬性经验bindPort不要用默认的7000。7000是frp的默认端口公网上每分钟都有大量扫描器在扫它。换成一个不常见的高位端口比如16000以上能过滤掉绝大部分低水平扫描。token必须用高熵随机字符串。不要在配置里写123456或者frp这种很容易被暴力破解。生成方法很简单openssl rand -hex 24。云平台安全组只放行必要端口。bindPort、webServer.port、以及后续你打算映射给外部访问的数据端口一条条添加不要图省事直接放行所有端口。Dashboard的addr建议保持0.0.0.0以便随时查看但如果不需要远程查看就改成127.0.0.1并且通过SSH隧道访问它。做好这几项服务端这块基本稳了。4. 客户端部署同一套配置在Linux与Mac M4上通用4.1 Linux客户端的部署与配置客户端的环境差异比较大我们先把最通用的Linux场景讲清楚。假设你的内网机器是Ubuntu或者Debian同样是下载对应的frp版本只保留frpc和frpc.toml两个文件即可frps不需要。frpc.toml的基础配置如下serverAddr 你的服务器公网IP或域名 serverPort 7000 auth.method token auth.token 与frps.toml中一致的token log.to /opt/frp/frpc.log log.level info [[proxies]] name ssh-home type tcp localIP 127.0.0.1 localPort 22 remotePort 6000这里有几个点需要展开说一下serverAddr指向服务器的IP或域名如果绑定过域名就填域名稳定性更好。serverPort必须和frps.toml里的bindPort一致这里还有一个经常踩的坑即使你只改了服务端的bindPort很多人忘了客户端的serverPort也要同步改导致连接失败。[[proxies]] 是TOML的数组表语法。每添加一个穿透服务就新增一段 [[proxies]] 配置块。上面这个例子把本机的22端口映射到服务器的6000端口外部通过 ssh -p 6000 user服务器IP 就能连到这台Linux机器。localIP填127.0.0.1代表只转发本机的服务如果目标服务跑在内网另一台机器上比如NAS的IP是192.168.1.100就填192.168.1.100。客户端同样可以用systemd托管配置方式和服务端几乎一样只是把ExecStart换成frpc[Unit] Descriptionfrp client Afternetwork.target [Service] Typesimple ExecStart/opt/frp/frpc -c /opt/frp/frpc.toml Restartalways RestartSec5 [Install] WantedBymulti-user.target注意frpc和frps的版本号必须保持一致。主版本不一致会出现一种很诡异的现象客户端日志显示连接成功但马上又断开服务端同时报EOF。排查这类问题时先对比两边的版本。4.2 Mac M4系统安装frpApple Silicon下的实操最近Mac M4芯片的机器越来越多很多人的开发机就是一台M4 MacBook Pro。把frpc跑在Mac上自己的Mac就能作为被穿透的节点出差时随时SSH回办公室的Mac或者远程访问上面跑的开发服务。这个场景很实用。M4是arm64架构下载时务必选择darwin_arm64版本。在我实测的M4 Mac上frp运行完全正常没有遇到兼容性问题。下载后解压把frpc和frpc.toml放到一个固定目录比如 /opt/frp/mkdir -p /opt/frp cp frpc /opt/frp/frpc cp frpc.toml /opt/frp/frpc.toml chmod x /opt/frp/frpc注意macOS默认对未签名或非App Store应用有Gatekeeper限制。如果运行时提示“无法打开因为无法验证开发者”需要在“系统设置 - 隐私与安全性”里点击“仍要打开”或者用右键菜单里的“打开”绕过一次校验。这个过程只需要做一次之后就能正常执行。Mac上托管后台进程的标准方式是launchd。在 ~/Library/LaunchAgents/com.frpc.plist 中写入?xml version1.0 encodingUTF-8? !DOCTYPE plist PUBLIC -//Apple//DTD PLIST 1.0//EN http://www.apple.com/DTDs/PropertyList-1.0.dtd plist version1.0 dict keyLabel/key stringcom.frpc/string keyProgramArguments/key array string/opt/frp/frpc/string string-c/string string/opt/frp/frpc.toml/string /array keyRunAtLoad/key true/ keyKeepAlive/key true/ keyStandardOutPath/key string/opt/frp/frpc.log/string keyStandardErrorPath/key string/opt/frp/frpc.log/string /dict /plist然后加载并启动launchctl load ~/Library/LaunchAgents/com.frpc.plist launchctl start com.frpcKeepAlive设为true的效果和Linux下的Restartalways一样进程意外退出会自动拉起。从M4实测来看frpc在Mac上跑一周以上非常稳定内存占用不到30MB几乎无感。4.3 客户端路由权限与其他小坑frpc本身不需要root权限但如果你映射的本地端口低于1024比如把80端口穿透出去客户端进程就需要root权限才能监听。Linux下用systemd的话默认就是root运行macOS用launchd也会以当前用户运行注意如果当前用户没有权限监听80端口就换一个高位端口或者调整权限。还有一个容易被忽略的问题frpc默认读取当前目录下的frpc.toml。如果你在别的目录执行 /opt/frp/frpc 而不加-c参数它会提示找不到配置文件。写脚本或systemd时务必带上 -c 参数。这类小问题单独拿出来说很傻但确实是我见过群里新手踩得最多的坑。5. 典型穿透场景与完整配置示例5.1 SSH穿透远程登录家里/公司主机内网穿透最经典、需求最刚的场景就是SSH。把自己家里那台开着的Linux主机穿透出去出门在外随时都能连回去。在frpc.toml里添加[[proxies]] name ssh-home type tcp localIP 127.0.0.1 localPort 22 remotePort 6022重载frpc后从外部访问的命令变成ssh -p 6022 user你的服务器IP一个体验上的小优化在本地 ~/.ssh/config 里加一段别名省得每次敲端口Host home HostName 服务器IP Port 6022 User user ServerAliveInterval 30之后直接 ssh home 就行。ServerAliveInterval每30秒发一个心跳包防止长时间没操作连接被运营商或中间设备空闲回收。SSH穿透场景下建议把服务器的密码登录关掉改用密钥认证。因为SSH端口暴露在公网上扫描和暴力破解几乎是必然发生的密钥认证能彻底免疫密码爆破。这是一个老生常谈的安全建议但在穿透场景下更加重要。5.2 Web服务穿透访问内网NAS或本地开发站点Web场景分两种有域名的和没域名的。没域名时最简单的方式还是TCP隧道把NAS的Web管理端口直接映射出去。以群晖为例[[proxies]] name nas-web type tcp localIP 192.168.1.100 localPort 5000 remotePort 5000访问地址变成 http://你的服务器IP:5000。这种方式配置简单但缺点是一个代理只能对应一个站点。有域名后frp提供了更优雅的方案。服务端需要在frps.toml里开启HTTP虚拟端口vhostHTTPPort 80然后在frpc.toml里添加HTTP代理[[proxies]] name blog-web type http localIP 127.0.0.1 localPort 8080 customDomains [blog.example.com]这个配置的意思是当公网用户访问 http://blog.example.com 时流量到达服务器的80端口后frps根据Host头判断这是blog.example.com的请求于是把它转发给对应的客户端隧道最终到达本机的8080端口。一台服务器配合多个customDomains理论上能用80端口挂无数个内网站点。如果想让访问体验更安全、浏览器不报警可以升级为HTTPS。设置vhostHTTPSPort443后在frpc侧配置plugin https2http把本地HTTP服务包装成HTTPS对外暴露。证书管理稍微复杂一点建议后面单独研究基础流程跑通以后这套东西是非常顺手的。5.3 远程桌面Windows RDP协议穿透远程控制家里或公司的Windows电脑是frp另一个高频使用场景。Windows自带的远程桌面RDP走的是3389端口把它通过frp穿透出去就能在任意位置用“远程桌面连接”直接连回那台电脑。配置如下[[proxies]] name rdp-win type tcp localIP 192.168.1.50 localPort 3389 remotePort 63389外部连接时在Windows的远程桌面客户端里填上你的服务器IP:63389 即可。RDP本身做了极强的加密和压缩优化同样带宽下比VNC流畅得多这是Windows平台优先级最高的远程方案。需要提醒的是RDP暴露在公网后被脚本扫描爆破是家常便饭。除了前面说的改用复杂密码外还有一种更稳妥的做法frp只负责把端口暴露出来再结合Windows自身的账号锁定策略连续输错密码自动锁定几分钟能挡住绝大多数攻击。5.4 UDP代理与特殊协议穿透frp不只支持TCP同样支持UDP穿透。UDP模式下配置几乎一样[[proxies]] name minecraft-udp type udp localIP 127.0.0.1 localPort 19132 remotePort 19132UDP穿透适合的场景包括游戏服务器的联机端口、部分音视频传输、DNS自定义解析等。但说实话UDP穿透的适用面没有TCP那么广因为很多UDP应用对延迟和丢包极其敏感多一跳服务器转发会有明显影响。我自己的经验是能用TCP解决的场景优先用TCP只有确实需要UDP协议时才开UDP代理。6. 常见问题与排查技巧实录6.1 排查问题的基本流程frp架构一共就两段连接客户端连服务端外部用户连服务端。排查问题的时候永远从这两条链路入手。最基本的三步排查服务端日志journalctl -u frps -e -n 50 或者 tail -f /opt/frp/frps.log。如果客户端根本没有连上来服务端日志会直接显示连接来源。客户端日志tail -f /opt/frp/frpc.log。客户端日志是最有信息量的认证失败、版本不匹配、连接超时都会在这里显示具体告警。网络连通性从外部机器 telnet 服务器IP 端口测试端口是否可达。很多时候问题出在云安全组或本地防火墙没放行这一步能快速定位。这三步走完绝大多数问题都能定位到具体环节剩下的问题就很少了。6.2 典型问题速查表我把实际运维中遇到频率最高的问题整理成表方便遇到状况时直接对照现象大概率原因解决方法客户端日志报 connection refused服务端没启动、bindPort写错、云安全组没放行确认frps运行状态核对端口检查安全组客户端日志报 authentication failedtoken不一致或服务端开了认证但客户端没写token对比两边auth.token客户端能连上但马上断开服务端报EOFfrps和frpc版本不一致统一两边版本重新下载外部访问端口超时安全组未放行或者服务器防火墙没有开放端口检查云安全组和ufw/firewalld规则HTTP穿透访问返回404/502customDomains填错或frps没开启vhostHTTPPort核对Host头配置检查vhostHTTPPortDashboard打不开端口没放行、或webServer.addr仍是127.0.0.1修改addr为0.0.0.0并放行安全组连接时不时断开NAT空闲超时或frp心跳参数需要调优调整transport.heartbeatInterval和heartbeatTimeout穿透后访问速度慢服务器带宽受限或链路距离太远更换更大带宽的服务器或选择地理距离更近的节点关于心跳参数这里多说一句。frp默认的心跳间隔是30秒大多数情况下够用。但某些运营商的NAT设备会在60秒左右回收空闲连接这种情况下可以手动调紧心跳transport.heartbeatInterval 10 transport.heartbeatTimeout 30调小心跳间隔会让连接更“稳”但代价是更频繁的包交互。经过我实际验证10秒心跳基本可以稳住绝大多数网络环境而且对流量和性能的影响微乎其微。只有当你有明确证据表明连接频繁断开时才需要动这个参数。6.3 几个值得注意的独家避坑心得第一个坑不要用frp把数据库端口直接暴露到公网。有人为了方便把MySQL的3306端口通过frp转发出去然后肉鸡扫描扫到数据库被勒索或者被删库跑路。数据库这类敏感服务绝对不要直接穿透。实在要远程维护走SSH隧道再连数据库这样端口不会暴露在公网上。第二个坑frpc配置修改后一定要重启进程才生效。修改frpc.toml后systemd不会自动感知文件变更必须 systemctl restart frpcmacOS下 launchctl kickstart -k gui/$(id -u)/com.frpc。很多新手改了配置发现还连不上结果发现是配置根本没加载。第三个坑所有配置文件里的key最好用引号包起来。TOML格式对字符串的解析在某些版本里有细微差别尤其是token里带特殊符号时不加引号很容易导致token被截断或者解析报错。虽然frp自己的解析器对多数情况做了兼容但加上引号最保险。第四个坑日志文件的磁盘占用。长时间运行后frpc.log和frps.log会越来越大。frp没有内置日志轮转功能建议交给logrotate处理或者配置log.maxDays参数只保留最近几天的日志。如果跑了一整年才发现日志占了好几个G处理起来就很尴尬。7. 写在最后frp之外还能怎么折腾frp这套内网穿透方案搭建完以后能玩的方向非常多。我自己的使用经历里从最简单的远程SSH到在公司远程连家里的NAS看资料再到帮朋友调试他们内网里的路由器全都是靠这个隧道撑起来的。偶尔碰到某台设备不支持frp客户端的比如打印机、网络摄像头这类我还会在它前面挂一台能跑frpc的小主机相当于给整个局域网开了一个统一的出口。如果你希望访问体验再上一个台阶可以考虑把frp和SSL证书结合实现全站HTTPS或者用域名泛解析加上通配符证书做一个几乎无缝的远程访问入口。这些进阶玩法不需要更换底层方案还是在frp的框架内丰富配置。工具本身不复杂但内网穿透这件事本质上考验的是你对网络链路每一环的理解。隧道建立起来的那一瞬间你会对整个网络的工作方式有更直观的感受。希望这篇文章能帮你在折腾frp的路上少踩几个坑更早体会到那种“在外地远程连回家里电脑”的踏实感。

网站建设高端定制企业官网