1. 为什么需要内网穿透想象一下这个场景你家里有一台NAS存储设备里面存满了家人照片和工作文档或者你在办公室搭建了一个内部测试网站需要让外地的同事访问。这时候你会发现这些服务都藏在路由器后面就像被关在保险箱里的宝贝外人根本摸不着门路。这就是内网穿透要解决的问题——把藏在局域网里的服务安全地暴露到公网上。传统方案需要折腾路由器端口映射但大多数家庭宽带没有固定公网IP而且操作复杂容易出错。Frp这个开源工具就像一位专业的快递员能穿透层层网络障碍把你的内网服务安全送达公网。而宝塔面板的第三方插件则把这个复杂的技术变成了一键安装的傻瓜式操作。我去年帮朋友部署智能家居系统时就遇到过这个问题。他的安防摄像头需要远程查看但电信宽带不给公网IP。当时试了好几种方案最后用宝塔Frp的组合半小时就搞定了至今稳定运行了十个月。下面就把这套经过实战检验的方案完整分享给大家。2. 环境准备与插件安装2.1 服务器基础要求首先需要一台具有公网IP的云服务器作为Frp服务端推荐配置最低1核1G内存轻量级应用足够带宽建议2Mbps以上系统选择CentOS 7/Ubuntu 18.04我用腾讯云轻量应用服务器做过测试最基础的套餐1核1G 25GB SSD同时承载5个内网服务毫无压力。重点是要确保服务器安全组开放以下端口7000Frp默认通信端口7500仪表板端口需要暴露的其他服务端口2.2 宝塔面板初始化如果还没安装宝塔用这条命令快速安装CentOS示例yum install -y wget wget -O install.sh http://download.bt.cn/install/install_6.0.sh sh install.sh安装完成后记得在宝塔安全页面放行上述端口。有个容易忽略的细节部分云厂商有安全组和系统防火墙双重防护两边都需要设置。2.3 获取Frp插件目前宝塔官方应用商店还没有上架Frp插件我们需要手动安装第三方插件访问宝塔论坛的插件下载页注意替换为最新链接下载文件名为frp_plugin.zip的压缩包在宝塔面板依次点击软件商店→第三方应用→导入插件遇到过插件安装失败的情况通常是文件权限问题。可以用这条命令修复chmod 600 /www/server/panel/plugin/frp3. Frp服务端配置详解3.1 基础参数设置安装完成后在宝塔左侧菜单会出现Frp管理选项。首次进入需要配置几个关键参数绑定域名如果有备案域名可以填写没有就保持为空通信端口保持默认7000即可记得开放防火墙认证方式建议选择token验证比用户名密码更安全日志路径默认/www/wwwlogs/frp.log排查问题时很有用实测发现一个坑如果服务器同时运行着Nginx注意避免端口冲突。我有次把通信端口设为80结果导致网站无法访问。3.2 仪表盘配置Frp自带一个Web监控页面配置要点监听端口建议用7500默认值设置复杂的账号密码组合开启HTTPS会更安全配置完成后访问方式为http://你的服务器IP:7500。这里有个实用技巧可以在宝塔新建一个站点通过反向代理来访问这个仪表盘既美观又安全。3.3 启动与测试点击启动Frp按钮后建议用这个命令检查是否运行正常ps aux | grep frps如果看到frps -c /etc/frp/frps.ini的进程说明服务已启动。首次使用建议查看日志文件确认没有报错信息。4. 客户端配置实战4.1 下载Frpc客户端根据客户端系统类型下载对应版本Windows选择frpc_*.exeLinux选择对应架构的frpc_*.tar.gzMacOS使用frpc_darwin_*有个容易出错的地方一定要和服务端版本保持一致。我有次服务端是v0.38客户端用了v0.35结果出现奇怪的兼容性问题。4.2 配置文件编写基础模板frpc.ini示例[common] server_addr 你的服务器IP server_port 7000 token 你在服务端设置的密钥 [web] type tcp local_ip 127.0.0.1 local_port 80 remote_port 8080这个配置会把本地的80端口映射到服务器的8080端口。实际使用时要注意remote_port要在服务端防火墙开放如果映射HTTP服务建议配合宝塔的网站设置使用4.3 常见服务配置示例远程桌面连接配置[rdp] type tcp local_ip 192.168.1.100 local_port 3389 remote_port 53389SSH服务配置[ssh] type tcp local_ip 127.0.0.1 local_port 22 remote_port 6000MySQL数据库配置[mysql] type tcp local_ip 127.0.0.1 local_port 3306 remote_port 330605. 高级技巧与故障排查5.1 域名绑定技巧如果想用域名访问内网服务可以这样配置在DNS解析添加A记录指向服务器IP宝塔新建站点绑定该域名在站点设置中添加反向代理目标URL填http://127.0.0.1:映射端口开启HTTPS会更安全5.2 开机自启动设置Linux客户端设置自启动的方法创建systemd服务文件/etc/systemd/system/frpc.service写入以下内容[Unit] DescriptionFrp Client Afternetwork.target [Service] ExecStart/usr/local/bin/frpc -c /etc/frp/frpc.ini Restarton-failure [Install] WantedBymulti-user.target执行命令systemctl enable frpc systemctl start frpc5.3 常见问题解决连接超时问题检查服务器安全组和宝塔防火墙测试telnet 服务器IP 7000是否通查看服务端日志是否有认证失败记录带宽跑不满在客户端配置增加[common] tcp_mux true protocol kcp服务器如果是阿里云/腾讯云注意检查内网带宽限制服务频繁断开在客户端配置添加心跳检测[common] heartbeat_interval 30 heartbeat_timeout 906. 安全加固建议内网穿透本质上是在公网暴露服务安全措施必不可少Token强化使用openssl rand -hex 16生成高强度token端口防护修改默认7000/7500端口对非必要端口设置IP白名单日志监控定期检查/www/wwwlogs/frp.log异常连接客户端防护为每个服务设置独立token限制remote_port范围如10000-20000更新策略关注Frp的GitHub仓库及时更新安全补丁实际部署时我习惯用Fail2Ban来防护暴力破解添加这个过滤规则[frp-auth] enabled true filter frp-auth port 7000 maxretry 3 findtime 600 bantime 3600这套方案经过多个项目的实战检验最长的已经稳定运行两年多。关键是要做好权限控制和日志监控建议每个月检查一次连接记录。遇到可疑IP及时加入黑名单毕竟安全无小事。
宝塔面板结合Frp实现内网穿透的完整指南
发布时间：2026/7/21 12:35:32
1. 为什么需要内网穿透想象一下这个场景你家里有一台NAS存储设备里面存满了家人照片和工作文档或者你在办公室搭建了一个内部测试网站需要让外地的同事访问。这时候你会发现这些服务都藏在路由器后面就像被关在保险箱里的宝贝外人根本摸不着门路。这就是内网穿透要解决的问题——把藏在局域网里的服务安全地暴露到公网上。传统方案需要折腾路由器端口映射但大多数家庭宽带没有固定公网IP而且操作复杂容易出错。Frp这个开源工具就像一位专业的快递员能穿透层层网络障碍把你的内网服务安全送达公网。而宝塔面板的第三方插件则把这个复杂的技术变成了一键安装的傻瓜式操作。我去年帮朋友部署智能家居系统时就遇到过这个问题。他的安防摄像头需要远程查看但电信宽带不给公网IP。当时试了好几种方案最后用宝塔Frp的组合半小时就搞定了至今稳定运行了十个月。下面就把这套经过实战检验的方案完整分享给大家。2. 环境准备与插件安装2.1 服务器基础要求首先需要一台具有公网IP的云服务器作为Frp服务端推荐配置最低1核1G内存轻量级应用足够带宽建议2Mbps以上系统选择CentOS 7/Ubuntu 18.04我用腾讯云轻量应用服务器做过测试最基础的套餐1核1G 25GB SSD同时承载5个内网服务毫无压力。重点是要确保服务器安全组开放以下端口7000Frp默认通信端口7500仪表板端口需要暴露的其他服务端口2.2 宝塔面板初始化如果还没安装宝塔用这条命令快速安装CentOS示例yum install -y wget wget -O install.sh http://download.bt.cn/install/install_6.0.sh sh install.sh安装完成后记得在宝塔安全页面放行上述端口。有个容易忽略的细节部分云厂商有安全组和系统防火墙双重防护两边都需要设置。2.3 获取Frp插件目前宝塔官方应用商店还没有上架Frp插件我们需要手动安装第三方插件访问宝塔论坛的插件下载页注意替换为最新链接下载文件名为frp_plugin.zip的压缩包在宝塔面板依次点击软件商店→第三方应用→导入插件遇到过插件安装失败的情况通常是文件权限问题。可以用这条命令修复chmod 600 /www/server/panel/plugin/frp3. Frp服务端配置详解3.1 基础参数设置安装完成后在宝塔左侧菜单会出现Frp管理选项。首次进入需要配置几个关键参数绑定域名如果有备案域名可以填写没有就保持为空通信端口保持默认7000即可记得开放防火墙认证方式建议选择token验证比用户名密码更安全日志路径默认/www/wwwlogs/frp.log排查问题时很有用实测发现一个坑如果服务器同时运行着Nginx注意避免端口冲突。我有次把通信端口设为80结果导致网站无法访问。3.2 仪表盘配置Frp自带一个Web监控页面配置要点监听端口建议用7500默认值设置复杂的账号密码组合开启HTTPS会更安全配置完成后访问方式为http://你的服务器IP:7500。这里有个实用技巧可以在宝塔新建一个站点通过反向代理来访问这个仪表盘既美观又安全。3.3 启动与测试点击启动Frp按钮后建议用这个命令检查是否运行正常ps aux | grep frps如果看到frps -c /etc/frp/frps.ini的进程说明服务已启动。首次使用建议查看日志文件确认没有报错信息。4. 客户端配置实战4.1 下载Frpc客户端根据客户端系统类型下载对应版本Windows选择frpc_*.exeLinux选择对应架构的frpc_*.tar.gzMacOS使用frpc_darwin_*有个容易出错的地方一定要和服务端版本保持一致。我有次服务端是v0.38客户端用了v0.35结果出现奇怪的兼容性问题。4.2 配置文件编写基础模板frpc.ini示例[common] server_addr 你的服务器IP server_port 7000 token 你在服务端设置的密钥 [web] type tcp local_ip 127.0.0.1 local_port 80 remote_port 8080这个配置会把本地的80端口映射到服务器的8080端口。实际使用时要注意remote_port要在服务端防火墙开放如果映射HTTP服务建议配合宝塔的网站设置使用4.3 常见服务配置示例远程桌面连接配置[rdp] type tcp local_ip 192.168.1.100 local_port 3389 remote_port 53389SSH服务配置[ssh] type tcp local_ip 127.0.0.1 local_port 22 remote_port 6000MySQL数据库配置[mysql] type tcp local_ip 127.0.0.1 local_port 3306 remote_port 330605. 高级技巧与故障排查5.1 域名绑定技巧如果想用域名访问内网服务可以这样配置在DNS解析添加A记录指向服务器IP宝塔新建站点绑定该域名在站点设置中添加反向代理目标URL填http://127.0.0.1:映射端口开启HTTPS会更安全5.2 开机自启动设置Linux客户端设置自启动的方法创建systemd服务文件/etc/systemd/system/frpc.service写入以下内容[Unit] DescriptionFrp Client Afternetwork.target [Service] ExecStart/usr/local/bin/frpc -c /etc/frp/frpc.ini Restarton-failure [Install] WantedBymulti-user.target执行命令systemctl enable frpc systemctl start frpc5.3 常见问题解决连接超时问题检查服务器安全组和宝塔防火墙测试telnet 服务器IP 7000是否通查看服务端日志是否有认证失败记录带宽跑不满在客户端配置增加[common] tcp_mux true protocol kcp服务器如果是阿里云/腾讯云注意检查内网带宽限制服务频繁断开在客户端配置添加心跳检测[common] heartbeat_interval 30 heartbeat_timeout 906. 安全加固建议内网穿透本质上是在公网暴露服务安全措施必不可少Token强化使用openssl rand -hex 16生成高强度token端口防护修改默认7000/7500端口对非必要端口设置IP白名单日志监控定期检查/www/wwwlogs/frp.log异常连接客户端防护为每个服务设置独立token限制remote_port范围如10000-20000更新策略关注Frp的GitHub仓库及时更新安全补丁实际部署时我习惯用Fail2Ban来防护暴力破解添加这个过滤规则[frp-auth] enabled true filter frp-auth port 7000 maxretry 3 findtime 600 bantime 3600这套方案经过多个项目的实战检验最长的已经稳定运行两年多。关键是要做好权限控制和日志监控建议每个月检查一次连接记录。遇到可疑IP及时加入黑名单毕竟安全无小事。
