六月出差住在酒店想远程看一眼家里 NAS 上的文件登录路由器一看宽带出口 IP 又变了。之前一直用“记下当前 IP、在手机里翻找”这种原始办法那次终于被折腾烦了干脆把 UBNT ER-X 上这套 DDNS 和 frps 内网穿透完整搭了一遍之后出门在外访问家里服务再也没操过心。这篇文章就是这次搭建的完整复盘内容包括拓扑设计、每一步的配置命令、踩过的坑以及跑了大半年之后的稳定性总结。如果你手里也有一台 EdgeOS 设备或者只是被动态公网 IP 和“无公网 IP”这两件事困扰这篇应该能帮你一次搞定。我默认你的需求和我一样人在外面要稳定地访问家里的 NAS、摄像头、SSH 服务不想用那些流量要过第三方服务器的商业穿透产品。目标很明确——家里的 ER-X 作为入口DDNS 固定动态 IPfrps 在路由器上做隧道服务端内网设备通过 frpc 主动连上来。下面按完整搭建顺序讲。1. 先画图再动手一个远程访问家庭服务的完整链路1.1 我的网络环境和目标先说背景。我这边宽带是电信家宽有动态公网 IPv4但是地址不固定往往几小时到几天就会变一次。以前也试过直接在路由器上做端口转发把 NAS 的 5000 端口映射到公网但那样做有几个问题一是所有扫描器都能扫到你的服务端口爆破风险很高二是家里设备一多每个服务都要单独做映射配置会越来越乱三是如果哪天宽带变成大内网没有公网 IP整套端口转发方案直接失效。所以这次的目标很明确用 frp 把“对外暴露端口”这件事集中收敛到 ER-X 一台设备上。内网所有设备都不需要把端口暴露到公网它们只需要往外连一次 frps建立一条反向隧道。我只需要在路由器上放行少量几个端口配合 DDNS 固定访问入口外面就能通过这些端口访问到内网服务。1.2 为什么是 DDNS 加 frps 两件套而不是其中一个很多人会问有了 frps 之后是不是就不需要 DDNS 了不是。frp 解决的是“内网服务怎么被外面安全地访问到”但 frps 本身监听在 ER-X 的 WAN 口上外面客户端访问它的时候还是需要通过一个 IP 地址。如果你的公网 IP 是动态的那就必须有一个域名来固定这个入口。DDNS 的作用就是把动态 IP 和固定域名绑定在一起让 frpc 客户端和外部用户始终用同一个域名访问。反过来只有 DDNS 没有 frps 也可以访问内网服务但那就回到了“端口转发 暴露公网”的老路上不安全也不优雅。两件套组合起来的架构是用户或 frpc 客户端访问home.example.com:47000DDNS 把home.example.com解析到 ER-X 当前的动态公网 IP流量到达 ER-X WAN 口防火墙放行 47000 端口frps 进程接收连接通过已建立的隧道转发给内网的 frpcfrpc 再把流量转给内网实际服务NAS、SSH 等这样一来公网侧永远只看到一个域名加几个专用端口内网设备全程不需要主动开放任何入站端口。1.3 设备选型为什么这件事适合交给 ER-X 做UBNT ER-X 是一台五口千兆路由器EdgeOS 系统底层基于 Debian虽然是家用级价格但配置方式完全是企业级那套 CLI 逻辑。而且它有一个很重要的特质MT7621 这颗 MIPS 芯片虽然性能不算强但跑一个 frps 服务端的开销非常小实测 frps 进程常驻内存只有十几 MB对这台 256MB 内存的路由器来说毫无压力。更重要的是 ER-X 自带持久化分区/config配置、脚本、二进制文件都可以放在里面固件升级不会丢。这意味着你可以把整套 frps 和 DDNS 脚本都“钉”在路由器里开机自动运行不用额外养一台小主机当入口。一台设备搞定网关、DDNS、隧道服务端这是我觉得最舒服的地方。2. EdgeOS 侧的前置准备固件、软件源与 MIPS 架构的坑2.1 确认固件版本和 shell 环境我手里的 ER-X 固件是 EdgeOS 2.0.9-hotfix.1底层的 Debian 版本是 9Stretch。这套系统平时配置走 CLI也就是 SSH 进去之后用configure那套命令但我们要放自定义脚本和二进制文件需要进入真正的 shell。操作很简单SSH 登录路由器后执行sudo -i输入管理员密码后就进入了一个完整的 Debian shell。这个 shell 里能用的工具还算齐全curl、wget、md5sum 都有我们后面基本不依赖额外的软件包。2.2 检查系统里已有的工具一个比较容易忽略的细节是EdgeOS 自带的 curl 版本比较旧但调用 HTTPS API 够用了。如果发现 curl 不存在用 busybox 的 wget 也能完成同样的工作。我在搭建前做了一次快速检查which curl wget md5sum pgrep ss这几个工具在 DDNS 脚本、frps 运行状态检查和日志排查里都会用到。系统自带的情况下完全不需要折腾 opkg 软件源。如果你还想要 jq 这种工具来解析 JSON那才需要走 opkg 或 Entware但对我们的目标来说不是必须的所以我倾向于不引入额外依赖保持系统干净。2.3 目录规划为什么一定要放 /config接着是一个影响后续所有配置的决策frps 的二进制文件和配置文件放哪里。EdgeOS 的根文件系统在固件升级时会被覆盖放在/usr/bin、/etc下面的东西升级后大概率会丢。但/config是独立的持久化分区官方设计就是用来存放用户配置的升级和重启都不会动。我的目录结构如下/config/frp/frps /config/frp/frps.ini /config/frp/frpc /config/frp/frpc.ini /config/frp/logs/启动脚本放在/config/scripts/post-config.d/下面这个目录里的脚本会在系统网络配置完成和每次配置变更后自动执行是 EdgeOS 官方的自启动机制。2.4 下载正确架构的 frpuname 显示的 mips 其实是个陷阱这一步是很多教程没讲透、导致很多人卡住的地方。ER-X 的 CPU 是 MediaTek MT7621属于 MIPS 架构。问题是 MIPS 分大端mips和小端mipsel/mipsle你在路由器上执行uname -m会看到输出是mips但如果按照这个结果去下载linux_mips版本的 frp运行时会直接报Exec format error或者not found。原因很简单MT7621 实际是小端架构应该选择 mipsle 版本。这也是 frp release 页面里为什么同时有linux_mips和linux_mipsle的原因。我当时第一次就栽在这里下载了frp_0.52.3_linux_mips.tar.gz执行报错后排查了半天才发现是架构选错了。我用的版本是 v0.52.3选的是linux_mipslecd /tmp wget https://github.com/fatedier/frp/releases/download/v0.52.3/frp_0.52.3_linux_mipsle.tar.gz md5sum frp_0.52.3_linux_mipsle.tar.gz tar xzf frp_0.52.3_linux_mipsle.tar.gz cd frp_0.52.3_linux_mipsle ls -l frps frpc顺便说一句GitHub 下载在有些网络环境下会很慢可以用支持 GitHub release 的加速镜像下载也可以先在电脑上下好再通过 scp 传到路由器/tmp目录。反正最后要拷到/config/frp/下面来源无所谓。确认两个二进制文件存在后把它们拷到持久化目录并加上执行权限mkdir -p /config/frp/logs cp frps frpc /config/frp/ chmod x /config/frp/frps /config/frp/frpc2.5 为什么选择 0.52.3 这个版本这里说明一下版本选择的原因。frp 从 0.53 开始主推 TOML 格式配置旧版 ini 虽然还能用但新老版本的配置写法有差异网上大量教程用的还是 ini 格式。0.52.3 是 ini 配置时代比较成熟的版本运行稳定而且 MIPS 架构的编译产物齐全。等以后真的需要升级大版本再花时间迁移配置也不迟。稳定压倒一切这是跑生产环境的基本态度。3. DDNS 落地用 DNSPod 写一个能长期运行的解析更新脚本3.1 后台准备域名、解析记录和 API Token我用的域名是挂在 DNSPod 下的国内解析速度快免费版够用。需要在 DNSPod 后台提前做好两件事一是给主域名添加一条 A 记录子域名自己定比如home.example.com记录值可以先随便填一个 IP后面脚本会自动更新二是进入账号中心的密钥管理创建一个 API Token会得到一长串形如ID,Token的凭证ID 和 Token 是一起返回的后面要用。这一步看起来简单但 Token 的权限范围要看清楚。DNSPod 的 API Token 权限和账号是一致的相当于你的域名解析完全交给这个 Token 管理千万不要泄露更不要写进会被同步到网上的配置仓库里。3.2 脚本设计三个步骤外加一个判断DDNS 脚本的核心逻辑不复杂获取当前公网 IP查询当前 DNS 解析记录的值如果两者不一致就调用 API 更新一致就什么都不做直接退出。获取公网 IP 我用了https://api.ipify.org返回的就是纯文本格式的 IP很适合脚本解析。如果这个域名访问慢也可以换成别的同类服务脚本里只要保证能拿到一个干净的 IPv4 地址就行。查询记录 ID 这一步容易忽略但非常重要。DNSPod 更新解析记录的 API 需要传record_id这不是你在网页上看到的记录编号而是 API 返回的记录专属 ID。所以脚本要先调用Record.List接口拿到这个 ID。我是用 grep 和 sed 从 JSON 响应里提取的虽然土但完全够用。脚本内容如下#!/bin/sh # /config/frp/ddns.sh API_TOKEN你的ID,你的Token DOMAINexample.com SUB_DOMAINhome LOG_FILE/config/frp/logs/ddns.log # 1. 获取当前公网IP CURRENT_IP$(curl -s --max-time 10 https://api.ipify.org) if ! echo $CURRENT_IP | grep -qE ^[0-9](\.[0-9]){3}$; then echo $(date %Y-%m-%d %H:%M:%S) [ERROR] 获取公网IP失败: $CURRENT_IP $LOG_FILE exit 1 fi # 2. 查询当前记录ID和解析值 RECORD_JSON$(curl -s --max-time 10 -X POST https://dnsapi.cn/Record.List \ -d login_token$API_TOKEN \ -d formatjson \ -d domain$DOMAIN \ -d sub_domain$SUB_DOMAIN \ -d record_typeA) RECORD_ID$(echo $RECORD_JSON | grep -o id:[0-9]* | head -n1 | sed s/id://;s///) DNS_VALUE$(echo $RECORD_JSON | grep -o value:[^]* | head -n1 | sed s/value://;s///) if [ -z $RECORD_ID ]; then echo $(date %Y-%m-%d %H:%M:%S) [ERROR] 获取record_id失败: $RECORD_JSON $LOG_FILE exit 1 fi # 3. IP没有变化就跳过更新 if [ $DNS_VALUE $CURRENT_IP ]; then echo $(date %Y-%m-%d %H:%M:%S) [INFO] IP未变化跳过更新 ($CURRENT_IP) $LOG_FILE exit 0 fi # 4. 调用DDNS接口更新 RESULT$(curl -s --max-time 10 -X POST https://dnsapi.cn/Record.Ddns \ -d login_token$API_TOKEN \ -d formatjson \ -d domain$DOMAIN \ -d sub_domain$SUB_DOMAIN \ -d record_id$RECORD_ID \ -d record_line默认 \ -d value$CURRENT_IP) echo $(date %Y-%m-%d %H:%M:%S) [INFO] 更新完成: $RESULT $LOG_FILE脚本保存后先手动执行一次确认没有报错chmod x /config/frp/ddns.sh /config/frp/ddns.sh cat /config/frp/logs/ddns.log日志里看到IP未变化或者更新完成就说明脚本跑通了。3.3 定时执行用 EdgeOS 自带的 task-scheduler 而不是 cronEdgeOS 提供了原生的定时任务配置方式不需要去改/etc/crontab在 configure 模式下配置好就是永久生效的configure set system task-scheduler task ddns executable path /config/frp/ddns.sh set system task-scheduler task ddns interval 5 commit save注意interval 5的单位是分钟最小只能写 1。动态公网 IP 一般几小时甚至几天才变一次每 5 分钟检查一次已经非常宽裕完全不会触发 DNSPod 的 API 频率限制。设置完成后可以执行show system task-scheduler看到任务列表里有 ddns 任务就说明定时器挂上了。这个机制比直接改 cron 好在哪里它会把定时任务写进config.boot以后备份配置、固件升级恢复都在一起不会因为某个配置文件忘了同步而丢任务。3.4 验证确认域名解析已经指向当前公网 IP验证这一步不要偷懒。先在路由器上确认当前 WAN 口 IP 是多少再去查域名的解析结果两者一致才算成功。ER-X 里可以用show dhcp client lease记录下ip字段的值。然后在任意一台电脑上执行nslookup home.example.com对比两边的 IP。如果一致DDNS 链路已经通了。如果脚本日志显示更新成功但解析结果还没变大概率是本地 DNS 缓存等几分钟再查一次就好。4. frps 服务端部署让 ER-X 自己成为一个隧道入口4.1 为什么把 frps 放在路由器上而不是 VPS现在很多内网穿透教程会建议买一台有公网 IP 的 VPS在上面跑 frps然后内网设备跑 frpc 连上去。这个方案确实通用适合没有公网 IP 的用户。但我的情况是宽带本身有动态公网 IP再绕道 VPS 就多了一个中转节点访问延迟和带宽都会打折。所以我把 frps 直接放在 ER-X 本机跑让路由器自己成为隧道入口。这样做的另一个好处是frps 监听的端口直接就在路由器上防火墙规则可以和 frps 配置联动。如果想要限制某个映射端口只允许特定来源 IP 访问直接在 ER-X 的防火墙里加一条规则就行比在 VPS 上再配一层 ufw 要方便得多。4.2 frps.ini 的配置选型和安全取舍frps 的配置文件中有几个关键点值得单独说。首先是bind_port默认是 7000但我强烈建议改掉。这个端口是 frp 的默认端口全网扫描器最喜欢探测的就是这类特征端口。我改成了47000高位端口看上去像个随机服务端口能过滤掉一大半无聊的扫描流量。其次是token这是一把连接密钥内网所有 frpc 都要用同一个 token 才能连上来。千万别用什么123456、password这种。我习惯用系统随机生成openssl rand -hex 32输出的 64 位十六进制字符串直接当 token 用身体健康且暴力破解几乎不可能。最后是 dashboard 的监听地址。frp 自带的 Web 监控面板很实用能看到所有隧道的连接状态。但这个面板一旦暴露到公网就是给攻击者递刀。配置里我把 dashboard 的监听地址指定为内网地址192.168.1.1这样只有内网可以访问公网永远进不来[common] bind_addr 0.0.0.0 bind_port 47000 token 8f9a2b...替换为你的随机串 dashboard_addr 192.168.1.1 dashboard_port 7500 dashboard_user admin dashboard_pwd 换成强密码 log_file /config/frp/logs/frps.log log_level info log_max_days 7启动下 frps 试试/config/frp/frps -c /config/frp/frps.ini然后看端口是否监听ss -lnt | grep 47000看到LISTEN状态就说明服务起来了。4.3 防火墙放行只开必要的端口不要手滑放行整个 IPEdgeOS 默认防火墙对 WAN 方向入站是拒绝的所以需要显式放行 frps 的监听端口。进 configure 模式配置configure set firewall name WAN_IN rule 10 action accept set firewall name WAN_IN rule 10 description Allow frps bind port set firewall name WAN_IN rule 10 destination port 47000 set firewall name WAN_IN rule 10 protocol tcp set firewall name WAN_IN rule 10 state new enable set firewall name WAN_IN rule 10 state established enable commit save这里有个细节规则是顺序匹配的数字小的先生效。如果你之前的防火墙配置里已经有一条靠前的规则把新连接全丢了那这条规则放在 10 号可能根本轮不到。配置之前先看一眼现有规则show firewall name WAN_IN确认default-action是 drop再确认没有编号更小的规则会拦截新连接然后 commit。这样做完公网对 47000 端口的访问会被放行其余的依旧保持拒绝。4.4 开机自启利用 post-config.d 把服务钉在系统里EdgeOS 没有 systemd不能在/etc/systemd/system里写 unit 文件。它的自启动机制是/config/scripts/post-config.d/目录下所有可执行脚本会在系统启动完成配置加载后自动执行。我写了一个启动脚本#!/bin/sh # /config/scripts/post-config.d/frp-start.sh if [ -x /config/frp/frps ]; then pgrep -f /config/frp/frps /dev/null 21 || \ /config/frp/frps -c /config/frp/frps.ini /config/frp/logs/frps.log 21 fi注意两点一是开头要pgrep检查进程是否已经在运行避免重复启动造成端口冲突二是脚本执行路径要写完整因为 post-config.d 的执行环境 PATH 很干净未必包含/usr/bin之外的路径。最后赋予执行权限chmod x /config/scripts/post-config.d/frp-start.sh手动执行一次这个脚本再用ss -lnt确认端口起来了。以后路由器随便重启frps 都会跟着自动拉起不需要人工干预。4.5 从内网设备连一次 frps验证服务端接收能力到这一步frps 服务端已经具备接收连接的条件了。先不用配置 frpc可以临时找一台内网 Linux 设备装一个 frpc 客户端只加 common 配置连过来看看日志。frpc 的配置后面详细讲这里只是确认 frps 能正确鉴权并建立连接。只要 frps 的日志里出现类似start frps success和客户端连入的日志就说明服务端这一侧已经没有问题。5. 内网设备接入frpc 端配置与整链路实测5.1 内网设备安装 frpcfrpc 是内网设备上的客户端也就是家庭内网真正跑服务的机器。我家里主要的内网服务都在一台 NAS 上所以 frpc 就直接装在那台 NAS 上。下载方式和 frps 一样去 frp release 页面找对应架构的版本比如大多数 Intel 平台选择linux_amd64wget https://github.com/fatedier/frp/releases/download/v0.52.3/frp_0.52.3_linux_amd64.tar.gz tar xzf frp_0.52.3_linux_amd64.tar.gz cp frp_0.52.3_linux_amd64/frpc /usr/local/bin/ chmod x /usr/local/bin/frpc如果你的内网服务跑在群晖之类的系统上也可以直接在计划任务里设置开机启动原理一样只是路径和自启方式略有区别。5.2 frpc.ini 配置示例SSH 和 Web 服务各占一个隧道frpc 的配置核心是把“内网某个 IP 端口”的流量映射到“frps 的某个 remote_port”。我在同一台 NAS 上跑了 SSH 和一个笔记服务配置如下[common] server_addr home.example.com server_port 47000 token 8f9a2b...和 frps 保持一致 [nas-ssh] type tcp local_ip 127.0.0.1 local_port 22 remote_port 6022 [nas-note] type tcp local_ip 127.0.0.1 local_port 5000 remote_port 55000local_ip这里有个技巧如果 frpc 就运行在服务本机可以写127.0.0.1减少走一遍局域网交换机的开销如果 frpc 要代理另一台内网设备的服务才需要改成那台设备的局域网 IP。还有一个非常容易踩的坑remote_port千万不要和 ER-X 自身占用的端口冲突。EdgeOS 的 Web 管理界面默认监听 80 和 443如果 remote_port 写成 443外部访问流量会被路由器自己的 Web 服务劫走因为 frps 没有权限再绑定同一个端口。我一开始没注意映射一个 HTTPS 服务时选了 443结果外面一直访问到的是路由器登录页面排查了好久才意识到是端口冲突。5.3 启动 frpc 并验证整条链路启动 frpc/usr/local/bin/frpc -c /etc/frp/frpc.ini先看日志输出是否出现start frpc success和login to server success。如果出现token相关报错说明 frps 和 frpc 两边的 token 不一致这是最常见的连接失败原因。如果出现超时先 ping 一下home.example.com确认能解析到公网 IP。链路验证要分几步走每一层都确认没问题再往下测内网验证服务本身curl http://127.0.0.1:5000确认 NAS 服务正常响应内网验证 frpc 进程ss -lnt确认 frpc 的 local_port 客户端在运行公网验证 DNS 解析nslookup home.example.com确认解析到当前 WAN IP公网验证端口连通切到手机 4G 网络telnet home.example.com 55000能通说明防火墙和 frps 都没问题最终验证服务响应手机浏览器访问http://home.example.com:55000能看到 NAS 的 Web 界面就大功告成5.4 一个容易误判的点内网用域名访问失败并不代表配置错配置完成后如果你在家庭局域网内直接用http://home.example.com:55000去访问很可能会失败或者卡住。这是因为局域网设备访问自己的公网 IP需要路由器支持 NAT 回环。ER-X 默认对这种情况的处理并不完美而这个失败和 frp 本身没有任何关系。所以测试时一定要区分来源内网验证走内网 IP公网验证走域名加 remote_port。我在搭建时就被这个现象迷惑过一度以为是防火墙配置错了后来用手机 4G 网络一测发现公网访问完全正常。现在养成了习惯凡是测外网链路一定要脱离家庭局域网网络。6. 运行半年后的维护总结常见故障、内存表现与安全加固6.1 最常见的启动故障Exec format error这个错误我在前面已经反复强调过但它值得再单独列一次因为它是 frps 部署失败的第一大原因。选择版本时CPU 架构必须和下载的压缩包匹配。ER-X 跑的是 MIPS 小端要选mipsle而不是mips。执行后如果报cannot execute binary file或Exec format error不用怀疑就是架构选错了重新下载对应架构包即可。另外也有人说在 ER-X 上跑 frps 会出现“Bad system call”或者因为 glibc 版本过老而无法运行。我的实际经验是 0.52.3 的编译产物在 EdgeOS 2.0.x 上运行完全正常如果遇到这类问题优先考虑换个 frp 版本试试。6.2 外网连不上但内网正常检查三个地方如果 frpc 日志显示连接成功但外网依然访问不了按顺序排查防火墙规则是否真的生效了重新执行show firewall name WAN_IN确认新加的规则在默认拒绝的规则之前并且状态是 activefrps 是否监听在0.0.0.0在路由器上执行ss -lnt如果监听地址是127.0.0.1:47000外部肯定连不上需要把bind_addr改成0.0.0.0DNS 解析是否更新到了最新 IP动态公网 IP 变了但 DDNS 还指向旧地址也是常见的“外网连不上”原因看看 ddns 日志里有没有报错这三种情况可以说覆盖了我这半年遇到过的大部分连接问题。6.3 DDNS 脚本的坑record_id 变了怎么办DDNS 脚本有一个隐藏依赖record_id 一旦写死之后在 DNSPod 后台手动操作了这条记录record_id 可能会变化脚本就会失败。我的脚本里没有写死 record_id而是每次先调用Record.List动态查询所以不存在这个问题。如果你看到 ddns 日志里一直报“获取 record_id 失败”大概率就是 Token 不对、域名不对、或者记录被删了重建过。顺带提一句DNSPod 的 API 返回结果如果带了code字段且不是 0日志里要认真看一眼。我把完整响应写进日志就是出于这个目的排查问题时有据可查不用靠猜。6.4 长期运行的内存与稳定性表现ER-X 只有 256MB 内存很多人会担心跑 frps 会不会拖慢路由器。我实际观察下来frps 常驻内存大约在 15MB 左右加上 EdgeOS 本身和各种正常服务剩余内存仍然充足。运行半年多期间主动重启过两三次路由器frps 都通过 post-config.d 自动拉起了链路恢复时间在 30 秒以内。不过要提醒一句ER-X 这台设备更适合做“轻量级隧道入口”别在它上面同时跑太多重服务。如果你打算把这台路由器折腾成 Docker 容器平台内存会非常紧张那还不如用一台 ARM 小主机专门跑这些服务。ER-X 做好自己的本分——稳定的路由和轻量服务——就已经很出色了。6.5 安全加固这套链路还能更稳一些再说几个我这半年实际在做、并且推荐你照做的安全动作。先说 remote_port 的源 IP 限制。frp 本身不带 ACL 功能但 frps 跑在路由器上天然可以借助防火墙限制访问某个 remote_port 的来源 IP。比如团队只有固定的几个出口 IP就可以在 WAN_IN 里加规则只允许这些 IP 访问 SSH 对应的 6022 端口其他人即使知道端口也连不进来。再看 frpc 的权限和配置。frpc 配置文件里包含 token文件权限一定要收紧我都是设置成 600chmod 600 /etc/frp/frpc.ini最后是日志观察。frps 的日志会记录每个隧道的连接来源我平时不会一直盯着但每个月底会抽空tail一眼。如果发现某个 remote_port 被反复尝试连接就考虑更换端口或者加上源 IP 限制。网络安全不是配置完就一劳永逸的事保持观察、及时调整才是常态。这套从 DDNS 到 frps、再到 frpc 的链路我在 ER-X 上跑了大半年之后出门在外访问家里服务再也没操过心。中间踩过的架构选错、端口冲突、NAT 回环这些坑回过头看都是配置过程中的必经之路希望这篇文章能帮你一次性绕过去。如果你在搭建过程中遇到什么不一样的问题也欢迎多交流配置细节这个东西很多时候真的是“试过才知道”。