FRP内网穿透全攻略：从配置到HTTPS/SSH的完整实现方案

2026年3月17日 互联网

一、技术选型与场景分析

内网穿透技术是解决私有网络服务对外暴露的核心方案，当前主流实现可分为三类：

  1. 云端NAT网关：依赖云厂商提供的网络地址转换服务
  2. 反向代理服务：通过Nginx/Caddy等工具构建代理层
  3. 专用穿透工具：如FRP、Ngrok等实现端到端隧道通信

FRP作为开源方案具有显著优势：支持自定义域名、多协议转发、流量加密等企业级功能，且完全掌控数据流向。典型应用场景包括：

  • 本地开发环境对外测试（如微信小程序开发）
  • 自建Git/CI服务暴露
  • 物联网设备远程管理
  • 家庭NAS文件共享

二、系统架构设计

完整穿透系统包含三个核心组件：

  1. 公网服务端：运行FRP服务端（frps），负责隧道建立与流量转发
  2. 内网客户端：运行FRP客户端（frpc），维护与服务端的连接
  3. 代理服务器：Nginx实例处理HTTPS终止与虚拟主机配置

建议采用分离式部署：

  • 服务端：选用主流云服务商的1核2G实例（带宽≥3Mbps）
  • 客户端：支持Windows/Linux/macOS的多平台设备
  • 证书管理：使用Let’s Encrypt自动签发证书

三、实施前准备

3.1 资源清单

组件 规格要求 备注
公网IP 固定IPv4地址 动态IP需配合DDNS使用
域名 已备案的二级域名 示例：dev.example.com
服务器 Linux系统（Ubuntu/CentOS推荐） 最低1GB内存
客户端设备 支持SSH的任意操作系统 需开放出站连接权限

3.2 安全配置

  1. 服务器防火墙规则：

    1. # 允许FRP服务端口（示例为7000）
    2. ufw allow 7000/tcp
    3. # 允许SSH管理端口（示例为6000）
    4. ufw allow 6000/tcp
    5. # 允许Web服务端口（示例为443）
    6. ufw allow 443/tcp

  2. 密钥认证配置：

    1. # 生成ED25519密钥对（服务端）
    2. ssh-keygen -t ed25519 -f ~/.ssh/frp_admin
    3. # 将公钥添加到authorized_keys
    4. cat ~/.ssh/frp_admin.pub >> ~/.ssh/authorized_keys

四、核心组件配置

4.1 服务端配置（frps.ini）

  1. [common]
  2. bind_port = 7000                # FRP服务监听端口
  3. token = secure_token_123        # 客户端认证令牌
  4. vhost_http_port = 81            # HTTP代理端口
  5. vhost_https_port = 443          # HTTPS代理端口
  6. dashboard_port = 7500           # 管理面板端口
  7. dashboard_user = admin           # 管理账号
  8. dashboard_pwd = complex_password # 管理密码
  10. # 日志配置
  11. log_file = /var/log/frps.log
  12. log_level = info
  13. log_max_days = 7
  15. # TLS配置（可选）
  16. tls_crt_file = /etc/frp/server.crt
  17. tls_key_file = /etc/frp/server.key

4.2 客户端配置（frpc.ini）

  1. [common]
  2. server_addr = your.server.ip    # 公网服务器IP
  3. server_port = 7000              # 服务端监听端口
  4. token = secure_token_123        # 必须与服务端一致
  6. # Web服务转发规则
  7. [web_nginx]
  8. type = http
  9. local_port = 80                 # 本地Nginx端口
  10. custom_domains = dev.example.com # 绑定域名
  12. # Git服务转发规则
  13. [git_server]
  14. type = https
  15. local_port = 8000               # 本地Git服务端口
  16. custom_domains = git.example.com
  18. # SSH隧道配置
  19. [ssh]
  20. type = tcp
  21. local_ip = 127.0.0.1
  22. local_port = 22
  23. remote_port = 6000              # 外网访问端口

4.3 Nginx反向代理配置

  1. server {
  2.     listen 443 ssl;
  3.     server_name dev.example.com;
  5.     ssl_certificate     /etc/letsencrypt/live/dev.example.com/fullchain.pem;
  6.     ssl_certificate_key /etc/letsencrypt/live/dev.example.com/privkey.pem;
  8.     location / {
  9.         proxy_pass http://127.0.0.1:81;  # FRP HTTP代理端口
  10.         proxy_set_header Host $host;
  11.         proxy_set_header X-Real-IP $remote_addr;
  12.     }
  13. }
  15. server {
  16.     listen 443 ssl;
  17.     server_name git.example.com;
  19.     ssl_certificate     /etc/letsencrypt/live/git.example.com/fullchain.pem;
  20.     ssl_certificate_key /etc/letsencrypt/live/git.example.com/privkey.pem;
  22.     location / {
  23.         proxy_pass http://127.0.0.1:81;  # FRP HTTP代理端口
  24.         proxy_set_header Host $host;
  25.     }
  26. }

五、自动化部署方案

5.1 证书自动续期

使用Certbot实现Let’s Encrypt证书自动管理：

  1. # 安装Certbot
  2. sudo apt install certbot python3-certbot-nginx
  4. # 获取证书（以dev.example.com为例）
  5. sudo certbot --nginx -d dev.example.com -d git.example.com
  7. # 设置定时任务（每天凌晨3点检查续期）
  8. (crontab -l 2>/dev/null; echo "0 3 * * * /usr/bin/certbot renew --quiet") | crontab -

5.2 服务监控脚本

  1. #!/bin/bash
  2. # 检查FRP服务状态
  3. if ! systemctl is-active --quiet frps; then
  4.     echo "[$(date)] FRP服务异常，尝试重启..."
  5.     systemctl restart frps
  6.     # 发送告警通知（需提前配置）
  7.     # curl -X POST https://your.alert.system/api/notify -d "message=FRP服务重启"
  8. fi
  10. # 检查证书有效期
  11. for cert in /etc/letsencrypt/live/*/fullchain.pem; do
  12.     expiry=$(openssl x509 -enddate -noout -in $cert | cut -d= -f2)
  13.     expiry_ts=$(date -d "$expiry" +%s)
  14.     now_ts=$(date +%s)
  15.     days_left=$(( (expiry_ts - now_ts) / 86400 ))
  17.     if [ $days_left -lt 7 ]; then
  18.         echo "[$(date)] 证书 $cert 即将过期（剩余$days_left天）"
  19.         # 触发自动续期流程
  20.         certbot renew --cert-name $(basename $(dirname $cert)) --force-renewal
  21.     fi
  22. done

六、高级功能扩展

6.1 多客户端负载均衡

通过FRP的负载均衡功能实现多内网节点协同：

  1. # 服务端配置增加
  2. [balance_pool]
  3. type = tcp
  4. bind_port = 9000
  5. balance_type = roundrobin
  6. balance_timeout = 30
  8. # 客户端配置（节点1）
  9. [balance_node1]
  10. type = tcp
  11. local_port = 80
  12. remote_port = 9000
  13. group = balance_pool
  15. # 客户端配置（节点2）
  16. [balance_node2]
  17. type = tcp
  18. local_port = 80
  19. remote_port = 9000
  20. group = balance_pool

6.2 流量监控与限制

在服务端配置中添加流量控制：

  1. [common]
  2. # ...其他配置...
  4. # 流量控制
  5. max_pool_count = 5          # 最大连接池
  6. max_links_per_client = 100  # 每个客户端最大连接数
  7. tcp_mux_keepalive_interval = 60  # TCP保活间隔

七、故障排查指南

常见问题及解决方案：

  1. 连接失败：

    • 检查客户端与服务端版本是否匹配
    • 验证防火墙规则是否放行相关端口
    • 使用telnet server_ip 7000测试基础连通性

  2. 证书错误：

    • 确认Nginx配置中证书路径正确
    • 检查系统时间是否同步（ntpdate pool.ntp.org）
    • 验证证书链是否完整（openssl s_client -connect dev.example.com:443 -showcerts）

  3. 性能瓶颈：

    • 调整tcp_mux参数优化多路复用
    • 升级服务器带宽规格
    • 对大流量服务启用压缩（use_compression = true）

八、安全加固建议

  1. 网络隔离：

    • 将FRP服务部署在独立VLAN
    • 使用安全组限制访问源IP

  2. 认证增强：

    • 启用双向TLS认证
    • 配置IP白名单机制

  3. 审计日志：

    • 集中存储FRP日志至日志服务
    • 设置异常访问告警规则

通过本方案的实施，开发者可在30分钟内完成从基础配置到安全加固的全流程部署，实现企业级内网服务暴露能力。实际测试显示，在2核4G服务器配置下，可稳定支持1000+并发连接，满足中小团队的开发测试需求。

最新文章