核心结论TL;DR内网穿透背景由于 NAT 技术的存在外部网络无法主动连接内网的私有 IP。核心思路利用一台拥有公网 IP 的服务器作为中转站。frp 架构由运行在公网的frps和运行在内网的frpc组成。内网主动连接公网建立隧道。配置逻辑客户端通过配置localPort和remotePort将公网端口与内网服务绑定。一、 为什么需要内网穿透在 IPv4 地址枯竭的今天家庭宽带和公司网络通常都在 NAT 路由器之后使用私有 IP如 192.168.x.x。如果你想在家里搭建一个 Web 服务器供外网访问或者想在公司远程 SSH 连接家里的电脑外网是无法直接找到你的。这就是内网穿透要解决的问题。二、 frp 工作原理frp 是一款高性能的反向代理应用。在内网机器上运行frpc客户端主动向公网服务器的frps发起连接因为内网访问外网是被允许的。建立一条长期存在的安全隧道。当外部用户访问公网服务器的指定端口时frps会顺着隧道把请求转发给内网的frpc。三、 实战配置(插入 frpc.toml 的截图)# frpc.toml (运行在内网) serverAddr 云服务器公网IP serverPort 7000 [[proxies]] name ssh-tunnel type tcp localIP 127.0.0.1 localPort 22 # 内网本地服务端口 remotePort 8081 # 暴露给公网的端口四、 测试验证与避坑(插入 ssh -p 8081 连接成功的截图)配置完成后启动frps和frpc。在公网机器上执行ssh -p 8081 用户名云服务器IP成功通过公网 8081 端口登录到了内网的 22 端口。⚠️ 核心避坑云服务器的安全组必须放行7000通信端口和8081映射端口。如果想让 frp 在后台常驻可以使用nohup ./frpc -c frpc.toml /dev/null 21 命令。自我实战操作cd ~/linux_study/network_test mkdir frp_demo cd frp_demo第一步下载并解压 frp(如果 GitHub 下载慢可以找网上的国内镜像加速)# 下载 Linux amd64 版本 wget https://github.com/fatedier/frp/releases/download/v0.58.1/frp_0.58.1_linux_amd64.tar.gz 解压 tar -zxvf frp_0.58.1_linux_amd64.tar.gz cd frp_0.58.1_linux_amd64第二步配置公网端frps.tomlvim frps.toml(输入以下代码)bindPort 7000(默认通信端口是 7000。重点排坑去云服务器控制台的安全组里放行 7000 端口)第三步配置内网端frpc.tomlvim frpc.toml(输入以下代码)serverAddr 127.0.0.1 # 模拟环境填 127.0.0.1。如果你在家里填云服务器的公网 IP serverPort 7000 # 连向 frps 的 7000 端口 [[proxies]] name ssh-tunnel type tcp localIP 127.0.0.1 localPort 22 # 内网真正要暴露的服务端口 (这里是 SSH 的 22) remotePort 8081 # 映射到公网的 8081 端口(重点排坑安全组里还要放行 8081 端口)第四步启动并测试终端 A启动服务端./frps -c frps.toml(看到frps started successfully说明成功)终端 B启动客户端./frpc -c frpc.toml(看到start proxy success说明隧道建好了)第五步见证奇迹现在你用本地的电脑或者直接开第三个终端# 尝试连接云服务器的 8081 端口 ssh -p 8081 blog127.0.0.1现象当执行ssh -p 8081 blog127.0.0.1时终端弹出了The authenticity of host ... cant be established.的指纹确认提示。说明这是 SSH 的首次连接安全机制。因为我们刚才配置了 frp 内网穿透将本地的 22 端口映射到了 8081 端口。SSH 客户端发现了这个“陌生”的隧道端口为了防范中间人攻击要求我们核对 RSA/ED25519 指纹。操作输入yes确认后成功进入了目标主机的终端。这标志着 frp 穿透大获全胜以后在家里、在公司随时随地都可以用 8081 这个暗门连回这台服务器了现象在终端执行ssh -p 8081 blog127.0.0.1并输入密码后成功弹出了 Ubuntu 的欢迎信息提示符变成了blogVM-0-16-ubuntu:~$。深度解析我明明连接的是8081端口为什么能登录进blog用户因为 frp 客户端在后台默默把请求转发给了本机的22端口。这个实战虽然是在同一台机器上模拟的但如果在真实的办公场景中frps服务端跑在云服务器上。frpc客户端跑在公司的内网电脑上。那么你在家里只要执行ssh -p 公网IP的8081端口就能直接远程操控公司的电脑安全提醒真实场景下千万不要把带有公网 IP 的 22 端口直接暴露出去使用 frp 映射加上强密码/密钥认证是最稳妥的方案。(实战演示完毕后记得用CtrlC关掉 frps 和 frpc或者用文档里提到的nohup让它们在后台运行nohup ./frpc -c frpc.toml /dev/null ) 
长河君 · 2026/11/5 3:47:19 · 阅读 1.2k Linux 学习笔记（五十四）：内网穿透实战——用 frp 让外网访问你的私人电脑
核心结论TL;DR内网穿透背景由于 NAT 技术的存在外部网络无法主动连接内网的私有 IP。核心思路利用一台拥有公网 IP 的服务器作为中转站。frp 架构由运行在公网的frps和运行在内网的frpc组成。内网主动连接公网建立隧道。配置逻辑客户端通过配置localPort和remotePort将公网端口与内网服务绑定。一、 为什么需要内网穿透在 IPv4 地址枯竭的今天家庭宽带和公司网络通常都在 NAT 路由器之后使用私有 IP如 192.168.x.x。如果你想在家里搭建一个 Web 服务器供外网访问或者想在公司远程 SSH 连接家里的电脑外网是无法直接找到你的。这就是内网穿透要解决的问题。二、 frp 工作原理frp 是一款高性能的反向代理应用。在内网机器上运行frpc客户端主动向公网服务器的frps发起连接因为内网访问外网是被允许的。建立一条长期存在的安全隧道。当外部用户访问公网服务器的指定端口时frps会顺着隧道把请求转发给内网的frpc。三、 实战配置(插入 frpc.toml 的截图)# frpc.toml (运行在内网) serverAddr 云服务器公网IP serverPort 7000 [[proxies]] name ssh-tunnel type tcp localIP 127.0.0.1 localPort 22 # 内网本地服务端口 remotePort 8081 # 暴露给公网的端口四、 测试验证与避坑(插入 ssh -p 8081 连接成功的截图)配置完成后启动frps和frpc。在公网机器上执行ssh -p 8081 用户名云服务器IP成功通过公网 8081 端口登录到了内网的 22 端口。⚠️ 核心避坑云服务器的安全组必须放行7000通信端口和8081映射端口。如果想让 frp 在后台常驻可以使用nohup ./frpc -c frpc.toml /dev/null 21 命令。自我实战操作cd ~/linux_study/network_test mkdir frp_demo cd frp_demo第一步下载并解压 frp(如果 GitHub 下载慢可以找网上的国内镜像加速)# 下载 Linux amd64 版本 wget https://github.com/fatedier/frp/releases/download/v0.58.1/frp_0.58.1_linux_amd64.tar.gz 解压 tar -zxvf frp_0.58.1_linux_amd64.tar.gz cd frp_0.58.1_linux_amd64第二步配置公网端frps.tomlvim frps.toml(输入以下代码)bindPort 7000(默认通信端口是 7000。重点排坑去云服务器控制台的安全组里放行 7000 端口)第三步配置内网端frpc.tomlvim frpc.toml(输入以下代码)serverAddr 127.0.0.1 # 模拟环境填 127.0.0.1。如果你在家里填云服务器的公网 IP serverPort 7000 # 连向 frps 的 7000 端口 [[proxies]] name ssh-tunnel type tcp localIP 127.0.0.1 localPort 22 # 内网真正要暴露的服务端口 (这里是 SSH 的 22) remotePort 8081 # 映射到公网的 8081 端口(重点排坑安全组里还要放行 8081 端口)第四步启动并测试终端 A启动服务端./frps -c frps.toml(看到frps started successfully说明成功)终端 B启动客户端./frpc -c frpc.toml(看到start proxy success说明隧道建好了)第五步见证奇迹现在你用本地的电脑或者直接开第三个终端# 尝试连接云服务器的 8081 端口 ssh -p 8081 blog127.0.0.1现象当执行ssh -p 8081 blog127.0.0.1时终端弹出了The authenticity of host ... cant be established.的指纹确认提示。说明这是 SSH 的首次连接安全机制。因为我们刚才配置了 frp 内网穿透将本地的 22 端口映射到了 8081 端口。SSH 客户端发现了这个“陌生”的隧道端口为了防范中间人攻击要求我们核对 RSA/ED25519 指纹。操作输入yes确认后成功进入了目标主机的终端。这标志着 frp 穿透大获全胜以后在家里、在公司随时随地都可以用 8081 这个暗门连回这台服务器了现象在终端执行ssh -p 8081 blog127.0.0.1并输入密码后成功弹出了 Ubuntu 的欢迎信息提示符变成了blogVM-0-16-ubuntu:~$。深度解析我明明连接的是8081端口为什么能登录进blog用户因为 frp 客户端在后台默默把请求转发给了本机的22端口。这个实战虽然是在同一台机器上模拟的但如果在真实的办公场景中frps服务端跑在云服务器上。frpc客户端跑在公司的内网电脑上。那么你在家里只要执行ssh -p 公网IP的8081端口就能直接远程操控公司的电脑安全提醒真实场景下千万不要把带有公网 IP 的 22 端口直接暴露出去使用 frp 映射加上强密码/密钥认证是最稳妥的方案。(实战演示完毕后记得用CtrlC关掉 frps 和 frpc或者用文档里提到的nohup让它们在后台运行nohup ./frpc -c frpc.toml /dev/null )