1. 为什么需要内网穿透？

想象一下这个场景：你在家里用笔记本开发了一个网站，想给同事演示效果。但对方无论如何都打不开你发的localhost:8080链接——因为你的服务只存在于本地网络环境。这就是内网穿透要解决的核心问题：让外部网络能够访问局域网内的服务。

传统解决方案可能需要复杂的路由器配置或者购买云服务器，而frp这类工具的出现，让这个过程变得像搭积木一样简单。我去年帮一个创业团队部署测试环境时，用frp只花了15分钟就让客户在海外访问到了他们本地的ERP系统，省下了上万元的云服务费用。

frp的工作原理其实很像快递中转站。当你在公网服务器部署frps（服务端），它就像个24小时营业的快递网点；内网的frpc（客户端）则像随时待命的配送员。外部请求先到达服务端，再由服务端通过预先建立的通道转交给客户端，最终送达目标服务。整个过程数据都是加密传输，比直接暴露内网端口安全得多。

2. 环境准备与Docker配置

2.1 选择适合的硬件环境

建议使用1核1G以上的云服务器作为服务端，带宽至少2Mbps。我测试过腾讯云的轻量应用服务器，月费不到30元就能稳定运行。客户端机器配置要求极低，甚至树莓派都能胜任。

2.2 Docker安装与验证

服务端和客户端都需要先安装Docker环境。以Ubuntu系统为例：

# 安装基础依赖
sudo apt-get update
sudo apt-get install ca-certificates curl gnupg

# 添加Docker官方GPG密钥
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg

# 设置仓库
echo \
  "deb [arch="$(dpkg --print-architecture)" signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  "$(. /etc/os-release && echo "$VERSION_CODENAME")" stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 安装Docker引擎
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

# 验证安装
sudo docker run hello-world

如果看到"Hello from Docker!"的输出，说明环境已就绪。有个常见坑点：某些云厂商的Ubuntu镜像默认带了旧版Docker，建议先执行sudo apt-get remove docker docker-engine docker.io containerd runc彻底清理。

3. 服务端(frps)部署实战

3.1 配置文件详解

新建frps.toml配置文件，建议放在/etc/frp目录下：

bindPort = 7000  # 客户端连接端口
log.to = "console"  # 日志输出到控制台

# HTTP/HTTPS代理端口
vhostHTTPPort = 8080
vhostHTTPSPort = 8443

# 安全认证
auth.method = "token"
auth.token = "your_secure_password_here"  # 建议用强密码

# 仪表盘配置
webServer.addr = "0.0.0.0"
webServer.port = 7500
webServer.user = "admin"
webServer.password = "admin_dashboard_password"

特别注意：vhostHTTPPort如果设置为80，需要确保服务器没有占用该端口的其他服务。遇到过Nginx冲突的情况，可以用sudo lsof -i :80检查端口占用。

3.2 启动Docker容器

使用官方镜像snowdreamtech/frps：

docker run -d \
  --name frps \
  --restart always \
  -p 7000:7000 \
  -p 7500:7500 \
  -p 8080:8080 \
  -p 8443:8443 \
  -v /etc/frp/frps.toml:/etc/frp/frps.toml \
  snowdreamtech/frps

关键参数说明：

• --restart always保证服务崩溃后自动重启
• -p参数映射的端口要与配置文件一致
• -v挂载配置时注意路径权限问题

3.3 验证服务运行

查看实时日志：

docker logs -f frps

正常会看到类似输出：

2023/12/01 10:00:00 [I] [service.go:200] frps tcp listen on 0.0.0.0:7000
2023/12/01 10:00:00 [I] [http.go:80] http service listen on 0.0.0.0:8080

访问http://服务器IP:7500输入仪表盘账号密码，应该能看到连接状态页面。如果遇到无法访问的情况，先检查防火墙设置，云服务器还需要配置安全组规则。

4. 客户端(frpc)配置技巧

4.1 基础TCP代理配置

客户端配置文件frpc.toml示例：

serverAddr = "your_server_ip"
serverPort = 7000
auth.token = "your_secure_password_here"

[[proxies]]
name = "web_ssh"
type = "tcp"
localIP = "192.168.1.100"
localPort = 22
remotePort = 6000

这个配置将本地22端口(SSH)映射到服务器的6000端口。启动客户端容器：

docker run -d \
  --name frpc \
  --restart always \
  -v /path/to/frpc.toml:/etc/frp/frpc.toml \
  snowdreamtech/frpc

测试SSH连接：

ssh -p 6000 username@your_server_ip

4.2 高级HTTP代理配置

对于Web服务，更推荐使用HTTP模式：

[[proxies]]
name = "nextjs_app"
type = "http"
localIP = "192.168.1.200"
localPort = 3000
customDomains = ["dev.yourdomain.com"]

需要先在DNS解析中将dev.yourdomain.com指向服务器IP。这种模式下：

• 支持基于域名的虚拟主机
• 自动处理HTTP协议转换
• 可配合Nginx做SSL终止

4.3 容器网络特别说明

当客户端运行在Docker环境时，localIP不能直接用127.0.0.1。建议：

1. 使用host网络模式：--network host
2. 或者查明目标服务的真实容器IP：

docker inspect -f '{{range.NetworkSettings.Networks}}{{.IPAddress}}{{end}}' 容器名

5. 常见问题排查指南

5.1 连接建立失败

错误现象：客户端日志显示"connection refused"

• 检查服务端防火墙是否开放了7000端口
• 确认serverAddr是公网IP而非内网IP
• 测试基础网络连通性：telnet your_server_ip 7000

5.2 HTTP服务无法访问

典型表现：能连接但返回502错误

• 确保本地服务在内网可以正常访问
• 检查customDomains是否与访问域名完全匹配
• 查看Nginx/Apache等Web服务器是否拦截了代理请求

5.3 性能优化建议

对于高并发场景：

• 调整transport.tcpMux = true启用连接复用
• 增加transport.poolCount提升吞吐量
• 考虑使用kcp协议提升弱网环境表现

记得定期检查仪表盘的连接数和流量统计，及时发现异常连接。我在实际使用中会配合Prometheus做监控，当异常流量突增时自动触发告警。