FRP内网穿透全攻略：域名绑定+Nginx反向代理+HTTPS加密+SSH远程管理

2026年3月19日 互联网

一、技术选型与场景适配

内网穿透技术通过建立公网服务器与内网设备间的加密隧道，实现外部网络对内网服务的访问。主流方案可分为两类：基于SaaS的付费服务（如某云厂商的NAT网关）与开源自部署方案（如FRP、Nginx）。前者优势在于零运维成本，但存在功能限制与数据隐私风险；后者虽需自行搭建服务端，但具备更高的灵活性与控制权。

典型应用场景：

  1. 开发测试环境：将本地运行的Web服务、数据库或API接口暴露给团队协作成员
  2. 私有化部署：在家庭网络中搭建GitLab、Jenkins等私有化服务
  3. 远程管理：通过SSH协议安全访问内网设备
  4. 物联网通信：实现设备与云端服务的双向数据传输

本方案采用FRP（Fast Reverse Proxy）作为核心组件，其优势在于：

  • 支持TCP/UDP/HTTP/HTTPS全协议穿透
  • 提供Web管理界面与Prometheus监控集成
  • 跨平台支持（Linux/Windows/macOS）
  • 活跃的开源社区与完善的文档体系

二、环境准备与资源清单

2.1 硬件资源要求

组件 配置要求 推荐方案
公网服务器 1核1G内存，1Mbps带宽 主流云服务商的轻量级服务器
内网设备 能运行FRP客户端的任意设备 Windows/Linux物理机或虚拟机
域名系统 已备案域名（需支持泛域名解析） 国内域名注册商

2.2 软件依赖清单

  • 服务端：FRP服务端、Nginx、Certbot（Let’s Encrypt证书工具）
  • 客户端：FRP客户端（与版本号与服务端保持一致）
  • 操作系统：Linux（推荐Ubuntu 20.04+）或Windows Server

2.3 网络拓扑设计

  1. 外部网络 → 公网服务器(FRP服务端) 
  2.            ↓
  3.            加密隧道(TCP/UDP)
  4.            ↓
  5. 内网设备(FRP客户端) → 本地服务(Web/SSH/数据库)

三、核心配置实施指南

3.1 FRP服务端配置

关键配置项解析（frps.ini）：

  1. [common]
  2. bind_port = 7000                # FRP服务监听端口
  3. token = secure_token_123        # 客户端认证令牌
  4. vhost_http_port = 81            # HTTP代理端口
  5. vhost_https_port = 443          # HTTPS代理端口
  6. dashboard_port = 7500           # 管理面板端口
  7. dashboard_user = admin          # 管理账号
  8. dashboard_pwd = complex_pwd     # 管理密码
  10. [ssh]                           # SSH穿透配置
  11. listen_port = 6000              # 公网SSH访问端口
  12. auth_method = token             # 认证方式

部署要点：

  1. 使用systemd配置开机自启
  2. 配置防火墙放行相关端口
  3. 定期检查日志文件/var/log/frps.log

3.2 Nginx反向代理配置

HTTPS证书获取流程：

  1. # 安装Certbot工具
  2. sudo apt install certbot python3-certbot-nginx
  4. # 获取证书（需提前配置域名DNS解析）
  5. sudo certbot --nginx -d *.example.com --email admin@example.com --agree-tos --no-eff-email

Nginx配置示例（nginx.conf）：

  1. server {
  2.     listen 443 ssl;
  3.     server_name git.example.com;
  5.     ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  6.     ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
  8.     location / {
  9.         proxy_pass http://127.0.0.1:8000;  # FRP转发的本地服务
  10.         proxy_set_header Host $host;
  11.         proxy_set_header X-Real-IP $remote_addr;
  12.     }
  13. }

3.3 FRP客户端配置

多服务穿透配置（frpc.ini）：

  1. [common]
  2. server_addr = public_ip         # 公网服务器IP
  3. server_port = 7000              # FRP服务端口
  4. token = secure_token_123        # 必须与服务端一致
  6. [web]                           # Web服务穿透
  7. type = http
  8. local_port = 80                 # 本地服务端口
  9. custom_domains = www.example.com # 绑定域名
  11. [gitlab]                        # GitLab服务穿透
  12. type = https
  13. local_port = 8000
  14. custom_domains = git.example.com
  16. [ssh]                           # SSH服务穿透
  17. type = tcp
  18. local_ip = 127.0.0.1
  19. local_port = 22
  20. remote_port = 6000              # 公网SSH访问端口

四、高级功能实现

4.1 流量监控与告警

  1. 启用Prometheus监控： 
    1. # frps.ini配置
    2. enable_prometheus = true
    3. prometheus_addr = 0.0.0.0
    4. prometheus_port = 7501
  2. 配置Grafana看板监控连接数、流量等关键指标

4.2 安全加固方案

  1. 访问控制：
    • 配置防火墙仅允许特定IP访问管理端口
    • 使用Nginx的allow/deny指令限制访问
  2. 数据加密：
    • 强制使用HTTPS协议
    • 启用FRP的TLS加密隧道（需配置tls_enable = true）
  3. 日志审计：
    • 配置日志轮转（logrotate）
    • 定期分析异常访问记录

4.3 高可用部署

  1. 多节点负载均衡：
    • 部署多个FRP服务端
    • 使用DNS轮询或Nginx上游模块实现负载分发
  2. 故障自动转移：
    • 配置Keepalived实现VIP切换
    • 编写健康检查脚本监控服务状态

五、常见问题排查

5.1 连接失败排查流程

  1. 检查网络连通性： 
    1. telnet public_ip 7000
  2. 验证FRP服务状态： 
    1. systemctl status frps
  3. 检查客户端日志： 
    1. tail -f /var/log/frpc.log

5.2 性能优化建议

  1. 调整TCP参数（服务端配置）： 
    1. tcp_mux = true                  # 启用TCP复用
    2. max_pool_count = 100            # 连接池大小
  2. 对大流量服务启用压缩： 
    1. [web]
    2. type = tcp
    3. compression = gzip              # 启用压缩

六、方案扩展性

  1. 物联网场景：通过MQTT协议穿透实现设备数据采集
  2. 游戏联机：使用UDP穿透搭建私有游戏服务器
  3. 混合云架构：打通本地IDC与云上资源的通信通道

本方案通过系统化的配置管理，实现了从基础穿透到安全加固的全流程覆盖。实际部署时建议先在测试环境验证，再逐步迁移至生产环境。对于企业级应用，可考虑结合容器化部署（如Docker）实现更高效的资源利用与版本管理。

最新文章