手上有一臺(tái)放在家里或公司內(nèi)網(wǎng)的機(jī)器上面跑著 NAS 管理頁、代碼倉庫、數(shù)據(jù)庫或者一個(gè)剛寫完還沒上線的 Web 服務(wù)它只能在內(nèi)網(wǎng)里被訪問。這時(shí)候絕大多數(shù)人都會(huì)選擇 frp 這套內(nèi)網(wǎng)穿透方案在公網(wǎng)服務(wù)器上跑 frps在內(nèi)網(wǎng)機(jī)器上跑 frpc。服務(wù)端那一步往往照著教程走一遍就通了真正讓人卡住的反倒是看起來最簡單的 frpc 客戶端——下載、改配置、啟動(dòng)只有三步但版本換代帶來的配置格式變化、不同平臺(tái)的常駐方式、以及連不上時(shí)該怎么定位才是決定你能不能把它用順手的關(guān)鍵。這篇內(nèi)容就圍繞frp 客戶端 frpc 的安裝與使用展開從它到底在整個(gè)鏈路里扮演什么角色到 Linux、Windows、macOS含 M 系列芯片、Docker 四種環(huán)境下的落地方式再到frpc.toml每個(gè)字段該怎么填、隧道類型怎么選、連不上時(shí)按什么順序排查最后聊怎么把它做成一個(gè)長期跑著不用操心的服務(wù)。不管你是剛接觸內(nèi)網(wǎng)穿透的新手還是已經(jīng)用了一兩年但只會(huì)復(fù)制配置的老用戶下面這些細(xì)節(jié)應(yīng)該都能省下你不少試錯(cuò)時(shí)間。1. 先把 frpc 在整個(gè)鏈路里的位置擺正1.1 連接方向永遠(yuǎn)是客戶端先撥出去這是理解 frp 的第一件事也是后面所有排錯(cuò)的底層前提。frps 部署在那臺(tái)有公網(wǎng) IP 的服務(wù)器上它負(fù)責(zé)監(jiān)聽一個(gè)控制端口默認(rèn) 7000等待客戶端來報(bào)到frpc 跑在內(nèi)網(wǎng)機(jī)器上它啟動(dòng)之后會(huì)主動(dòng)向 frps 發(fā)起一條長連接把這條連接保持住當(dāng)作控制通道之后再按配置把本地服務(wù)的流量從這條通道里塞過去。正因?yàn)榉较蚴莾?nèi)網(wǎng)往外撥所以你的內(nèi)網(wǎng)機(jī)器不需要公網(wǎng) IP路由器也不用做任何端口映射甚至機(jī)器在多層 NAT 后面都無所謂——只要它能訪問到公網(wǎng)服務(wù)器的 7000 端口這條隧道就能建立起來。很多人第一次接觸時(shí)想不明白外面怎么訪問進(jìn)來本質(zhì)就是沒意識(shí)到隧道是客戶端先出去鋪好的外面的訪問其實(shí)是沿著這條已經(jīng)鋪好的管道反向走。提示判斷一個(gè)內(nèi)網(wǎng)穿透工具能不能用最快的方法就是看連接方向。客戶端主動(dòng)外連的方案frp 屬于這類基本不挑網(wǎng)絡(luò)環(huán)境但也意味著客戶端進(jìn)程一旦掛掉隧道立刻就斷。1.2 哪些場景值得上 frpc結(jié)合我自己和身邊朋友的實(shí)際用法frpc 出現(xiàn)頻率最高的場景大概是這幾類。第一類是遠(yuǎn)程運(yùn)維家里的機(jī)器比如把家里的 NAS、軟路由、下載機(jī)通過 SSH 或 Web 面板掛到外面隨時(shí)能上去看一眼。第二類是內(nèi)網(wǎng)測試環(huán)境臨時(shí)對外前后端聯(lián)調(diào)時(shí)把本地跑起來的服務(wù)映射出去讓對方直接訪問省去反復(fù)打包部署。第三類是設(shè)備側(cè)數(shù)據(jù)回傳一些部署在客戶內(nèi)網(wǎng)的采集程序、工控網(wǎng)關(guān)需要把狀態(tài)上報(bào)到中心服務(wù)器用 frpc 做反向連接比讓客戶開防火墻簡單得多。第四類是遠(yuǎn)程開發(fā)機(jī)把公司或機(jī)房的開發(fā)機(jī)端口映射出來用本地 IDE 的遠(yuǎn)程開發(fā)功能直接連。這幾類的共同點(diǎn)是被訪問的服務(wù)本身就在內(nèi)網(wǎng)、只是偶爾需要外部觸達(dá)、對延遲和帶寬的要求不算極端。這也恰好是 frpc 的舒適區(qū)。1.3 什么時(shí)候不該硬上 frpc有一種情況是很多人踩過坑之后才明白的不要把 frpc 當(dāng)成正式對外站點(diǎn)的主鏈路。如果某個(gè)服務(wù)需要長期對外提供訪問、有備案和證書要求、訪問量還不小那正確做法是直接把它部署在有公網(wǎng) IP 的環(huán)境里或者走正規(guī)的負(fù)載與網(wǎng)關(guān)方案。把生產(chǎn)流量長期壓在一臺(tái) frpc 客戶端上一旦客戶端所在的網(wǎng)絡(luò)抖動(dòng)、運(yùn)營商側(cè)有波動(dòng)或者機(jī)器重啟后服務(wù)沒自啟損失的是真實(shí)用戶。另外純大流量場景比如持續(xù)的視頻流轉(zhuǎn)發(fā)也不太適合因?yàn)?frp 的轉(zhuǎn)發(fā)是經(jīng)過服務(wù)端中轉(zhuǎn)的帶寬會(huì)受公網(wǎng)服務(wù)器出口限制。這類需求更適合尋找能走點(diǎn)對點(diǎn)直連的方案frp 里的 xtcp 類型就是為這個(gè)準(zhǔn)備的后面會(huì)單獨(dú)講。2. 動(dòng)手改配置之前先把這四項(xiàng)信息拿到手并驗(yàn)證2.1 serverAddr、serverPort、token 三件套frpc 的配置里最核心的就是這三項(xiàng)它們必須和 frps 那側(cè)完全對上serverAddr公網(wǎng)服務(wù)器的 IP 或域名是你內(nèi)網(wǎng)機(jī)器能訪問到的地址不是服務(wù)端的內(nèi)網(wǎng) IP。serverPort控制端口frps 默認(rèn) 7000。如果服務(wù)端改過這里跟著改。token認(rèn)證口令兩邊必須一字不差。大小寫、前后空格、有沒有復(fù)制到換行符都會(huì)直接導(dǎo)致連接被拒。這三項(xiàng)里最容易出問題的是 token。我見過不止一次是從聊天窗口復(fù)制 token 時(shí)把末尾的換行也帶進(jìn)去了結(jié)果日志里一直報(bào)認(rèn)證失敗人卻在那邊反復(fù)檢查網(wǎng)絡(luò)。所以拿到 token 之后建議先粘貼到配置文件里再用編輯器的顯示不可見字符功能掃一眼確認(rèn)沒有多余空白。2.2 順帶確認(rèn)服務(wù)端給你的端口范圍隧道建起來之后每一個(gè)映射出去的服務(wù)都要占用服務(wù)端的一個(gè)公網(wǎng)端口remotePort。服務(wù)端一般會(huì)用allowPorts限制一個(gè)范圍防止客戶端隨便占用端口。所以在你規(guī)劃 remotePort 之前先問清楚服務(wù)端留給你的是哪一段比如 20000 到 21000。如果你配了一個(gè)超出范圍的 remotePort客戶端連得上、隧道也注冊了但日志里會(huì)明確提示端口不允許很多人看到連接成功就以為萬事大吉結(jié)果外面訪問不通問題就出在這里。2.3 用一條命令做連通性預(yù)檢在寫配置之前先在內(nèi)網(wǎng)機(jī)器上確認(rèn)它真的能碰到服務(wù)端的控制端口。Linux 和 macOS 上nc -vz your.server.com 7000Windows 上如果沒裝 nc用 PowerShell 的這條Test-NetConnection your.server.com -Port 7000只要能返回連接成功說明網(wǎng)絡(luò)鏈路沒問題后面如果 frpc 起不來方向就鎖定在配置本身而不是網(wǎng)絡(luò)。這一步花十秒鐘能幫你省掉后面半小時(shí)的無效排查。3. 四個(gè)平臺(tái)上把 frpc 裝成一個(gè)常駐服務(wù)3.1 Linux二進(jìn)制加 systemd 是最省心的組合frp 的發(fā)布包是純二進(jìn)制不需要編譯直接去項(xiàng)目的 Releases 頁面按架構(gòu)下載對應(yīng)壓縮包即可。判斷架構(gòu)用uname -mx86_64 對應(yīng)linux_amd64ARM 服務(wù)器對應(yīng)linux_arm64。下載后解壓把frpc和frpc.toml放到一個(gè)固定目錄我個(gè)人習(xí)慣是/usr/local/frp/然后給它單獨(dú)建個(gè)配置目錄也行關(guān)鍵是位置固定不然以后 systemd 找不到文件。接著寫 systemd 單元文件/etc/systemd/system/frpc.service[Unit] Descriptionfrp client Afternetwork.target [Service] Typesimple Usernobody Restarton-failure RestartSec5s ExecStart/usr/local/frp/frpc -c /usr/local/frp/frpc.toml LimitNOFILE1048576 [Install] WantedBymulti-user.target這里有幾個(gè)細(xì)節(jié)值得說。Restarton-failure加上RestartSec5s是保證它掉線后能自動(dòng)拉起來的關(guān)鍵不然機(jī)器重啟或者網(wǎng)絡(luò)閃斷一次你就得手動(dòng)上去啟動(dòng)。LimitNOFILE調(diào)大是因?yàn)樗淼罃?shù)量多的時(shí)候文件描述符容易成為瓶頸。Usernobody是降權(quán)frpc 本身不需要 root 權(quán)限除非你要映射的本地服務(wù)端口低于 1024。啟用并啟動(dòng)sudo systemctl daemon-reload sudo systemctl enable --now frpc sudo systemctl status frpcenable和--now一起用既設(shè)置開機(jī)自啟又立刻啟動(dòng)少敲一條命令。3.2 Windows別丟進(jìn)啟動(dòng)項(xiàng)注冊成服務(wù)Windows 上最省事的做法是把它注冊成系統(tǒng)服務(wù)。frp 本身不帶服務(wù)封裝通常借助winsw或者nssm這類工具把frpc.exe包成服務(wù)。以 nssm 為例下載后執(zhí)行nssm install frpc C:\frp\frpc.exe -c C:\frp\frpc.toml nssm set frpc AppStdout C:\frp\frpc.log nssm set frpc AppStderr C:\frp\frpc_err.log nssm start frpc這么做的價(jià)值在于服務(wù)模式下它能在沒有用戶登錄的情況下運(yùn)行也能設(shè)置崩潰后自動(dòng)重啟。很多人圖省事把 frpc 丟到啟動(dòng)文件夾結(jié)果一鎖屏、一切換用戶進(jìn)程就沒了隧道斷得莫名其妙。還有一個(gè) Windows 上特別容易忽略的點(diǎn)被殺軟攔。frpc 做的行為是持續(xù)外連一個(gè)固定端口并保持長連接某些安全軟件會(huì)把它判定為異常外聯(lián)行為直接阻斷。如果你確認(rèn)配置沒錯(cuò)日志里卻連嘗試連接都沒有先去安全軟件里看一眼攔截記錄。3.3 macOSM 系列芯片要認(rèn)準(zhǔn) arm64 包從 M1 開始到現(xiàn)在的 M4Apple 芯片的 Mac 已經(jīng)是主流下載時(shí)務(wù)必選darwin_arm64的包選成darwin_amd64也能靠 Rosetta 跑起來但啟動(dòng)時(shí)會(huì)多一層轉(zhuǎn)譯日志和實(shí)際行為偶爾會(huì)出現(xiàn)不一致排查起來很煩。下載后同樣解壓到固定位置比如/usr/local/frp/。macOS 上有個(gè)必踩的坑從瀏覽器下載的二進(jìn)制會(huì)帶上隔離屬性直接執(zhí)行會(huì)提示已損壞或來源不明。解決辦法是解除隔離sudo xattr -d com.apple.quarantine /usr/local/frp/frpc sudo chmod x /usr/local/frp/frpc如果要常駐用 launchd 而不是 cron。在~/Library/LaunchAgents/下建一個(gè)com.user.frpc.plist配置ProgramArguments指向 frpc 和配置文件路徑KeepAlive設(shè)為 true再用launchctl load加載。KeepAlive相當(dāng)于 systemd 的自動(dòng)重啟是保證長期在線的關(guān)鍵項(xiàng)。另外別忘了 macOS 的登錄項(xiàng)與擴(kuò)展和完全磁盤訪問權(quán)限某些情況下需要給 frpc 授權(quán)否則它讀取配置目錄會(huì)被系統(tǒng)攔下。3.4 Docker網(wǎng)絡(luò)模式選錯(cuò)就等于白配容器方式跑 frpc 最干凈但有一個(gè)高頻坑必須提前講默認(rèn)的 bridge 網(wǎng)絡(luò)下容器里的127.0.0.1指向的是容器自身而不是宿主機(jī)。如果你的隧道要映射的是宿主機(jī)上跑的服務(wù)配置里寫127.0.0.1就會(huì)轉(zhuǎn)發(fā)不到東西。兩種解決方案一是用--network host直接共享宿主機(jī)網(wǎng)絡(luò)棧最簡單直接二是保持 bridge 模式把 localIP 改成宿主機(jī)的局域網(wǎng) IP比如 192.168.1.10。前者更省心docker run -d --name frpc \ --network host \ --restart unless-stopped \ -v /opt/frp/frpc.toml:/etc/frp/frpc.toml \ snowdreamtech/frpc:latest--restart unless-stopped是容器版的自動(dòng)重啟策略配合前面的 systemd 思路是一回事。日志用docker logs -f frpc看別去翻文件。平臺(tái)常駐方案自動(dòng)重啟關(guān)鍵項(xiàng)最容易踩的坑LinuxsystemdRestarton-failure配置文件路徑寫成相對路徑Windowsnssm/winsw服務(wù)恢復(fù)策略被殺軟靜默攔截macOSlaunchdKeepAlive隔離屬性導(dǎo)致無法執(zhí)行Dockerrestart 策略u(píng)nless-stopped網(wǎng)絡(luò)模式選錯(cuò)導(dǎo)致轉(zhuǎn)發(fā)失敗4. frpc.toml 逐字段拆開講4.1 從 ini 到 toml先搞清你手上的版本用哪種格式frp 在 0.52 版本前后做了一次配置格式的切換老版本用frpc.ini的 ini 格式新版本統(tǒng)一改成frpc.toml。這是一個(gè)非常容易混淆的地方因?yàn)槟闼阉鞯降慕坛淌邪司攀桥f格式照抄到新版本上直接報(bào)解析錯(cuò)誤。老版 ini 長這樣[common] server_addr your.server.com server_port 7000 token your_token [ssh] type tcp local_ip 127.0.0.1 local_port 22 remote_port 6000新版 toml 長這樣serverAddr your.server.com serverPort 7000 auth.method token auth.token your_token [[proxies]] name ssh type tcp localIP 127.0.0.1 localPort 22 remotePort 6000最直觀的差別是[common]段沒了公共配置直接提到頂層每一條隧道不再是獨(dú)立的中括號(hào)段而是用[[proxies]]這個(gè)數(shù)組表來承載。判斷方法很簡單跑一次frpc --version看版本號(hào)或者直接看解壓包里給的是frpc.ini還是frpc.toml。注意新版 frp 仍然能讀 ini但它只做兼容處理一些新特性在 ini 里沒法表達(dá)。既然是新裝就別再用舊格式了。4.2 隧道類型怎么選從 tcp 到 xtcptype這個(gè)字段決定了隧道的工作方式選錯(cuò)類型是配置看起來對但訪問不通的頭號(hào)原因。下面這張表是我自己整理過的常用對照類型適用場景是否需要服務(wù)端額外端口特點(diǎn)tcpSSH、數(shù)據(jù)庫、自定義協(xié)議需要 remotePort最通用什么都能轉(zhuǎn)發(fā)udp游戲聯(lián)機(jī)、部分監(jiān)控協(xié)議需要 remotePort無連接協(xié)議專用http多站點(diǎn)按域名分流通常不需要依賴 vhostHTTPPort 和自定義域名https需要證書的 Web 服務(wù)通常不需要依賴 vhostHTTPSPortstcp只想給指定人訪問的服務(wù)不需要訪問方也要跑 frpc 做 visitorxtcp大流量、追求直連不需要嘗試點(diǎn)對點(diǎn)穿透失敗會(huì)回退大部分人的第一個(gè)隧道都是 tcp比如把內(nèi)網(wǎng)的 SSH 映射出去[[proxies]] name home-ssh type tcp localIP 127.0.0.1 localPort 22 remotePort 6000配好之后從外面ssh -p 6000 your.server.com就能連到內(nèi)網(wǎng)那臺(tái)機(jī)器。這里有個(gè)安全上的提醒不要把 SSH 直接暴露在所有 IP 上后面第 7 節(jié)會(huì)講怎么做限制。如果是要映射 Web 服務(wù)并且服務(wù)端已經(jīng)配好了vhostHTTPPort用 http 類型會(huì)更優(yōu)雅因?yàn)樗坑蛎麉^(qū)分不同隧道不需要為每個(gè)服務(wù)單獨(dú)占一個(gè)端口[[proxies]] name web-demo type http localPort 8080 customDomains [demo.your.domain.com]stcp 是很多人沒注意到但非常實(shí)用的一類。它的邏輯是服務(wù)只對同樣跑著 frpc 的訪問方開放公網(wǎng)上沒有暴露任何端口。服務(wù)提供方這樣配[[proxies]] name secret-rdp type stcp secretKey a-long-random-string localIP 127.0.0.1 localPort 3389訪問方那邊則加一段 visitors[[visitors]] name secret-rdp-visitor type stcp serverName secret-rdp secretKey a-long-random-string bindAddr 127.0.0.1 bindPort 13389然后訪問方本地連127.0.0.1:13389就等價(jià)于連到了對方的 3389。整個(gè)過程公網(wǎng)服務(wù)端不開放任何端口安全面小得多這也是我推薦用它替代直接 tcp 暴露遠(yuǎn)程桌面的原因。4.3 加密、壓縮、限速這三項(xiàng)到底開不開每個(gè)隧道下面都可以掛這幾個(gè)開關(guān)[[proxies]] name db type tcp localIP 127.0.0.1 localPort 3306 remotePort 6033 transport.useEncryption true transport.useCompression trueuseEncryption會(huì)把客戶端到服務(wù)端之間的流量加密。如果服務(wù)端也開了 TLStransport.tls.force true那隧道本身已經(jīng)在加密通道里跑再疊加這一層收益有限反而多耗一點(diǎn) CPU。但如果你對服務(wù)端不是完全信任或者服務(wù)端沒開 TLS建議打開。useCompression適合傳文本、JSON、HTML 這類可壓縮內(nèi)容能明顯省帶寬但如果轉(zhuǎn)的是已經(jīng)壓縮過的數(shù)據(jù)圖片、視頻、壓縮包開了反而多一次無用的 CPU 開銷。至于限速frp 支持在隧道級(jí)別配置帶寬上限適合在共享服務(wù)器上跑、不希望某條隧道吃滿出口的場景配置方式是transport.bandwidthLimit加單位。我一般不主動(dòng)開除非確實(shí)觀察到某條隧道把出口占滿了。4.4 一個(gè)進(jìn)程同時(shí)掛多條隧道沒有必要為每個(gè)服務(wù)單獨(dú)起一個(gè) frpc 進(jìn)程。[[proxies]]是數(shù)組允許多段并存同一個(gè) frpc 可以同時(shí)映射 SSH、Web、數(shù)據(jù)庫serverAddr your.server.com serverPort 7000 auth.method token auth.token your_token [[proxies]] name home-ssh type tcp localIP 127.0.0.1 localPort 22 remotePort 6000 [[proxies]] name nas-panel type tcp localIP 127.0.0.1 localPort 5000 remotePort 6001 [[proxies]] name dev-web type http localPort 8080 customDomains [dev.your.domain.com]這樣啟動(dòng)一次、維護(hù)一份配置、看一處日志比開好幾個(gè)進(jìn)程清爽得多。唯一要注意的是name必須全局唯一重復(fù)了服務(wù)端會(huì)拒絕注冊。5. 連不上時(shí)的排查鏈路按這個(gè)順序走5.1 第一件事永遠(yuǎn)是看日志而不是猜frpc 的日志信息量其實(shí)很足只是默認(rèn)級(jí)別不夠細(xì)。啟動(dòng)時(shí)加參數(shù)./frpc -c ./frpc.toml --log_level debug --log_file ./frpc.log或者直接在配置里寫log.to ./frpc.log log.level debug log.maxDays 7拿到日志之后按報(bào)錯(cuò)內(nèi)容分層定位連不上服務(wù)端是網(wǎng)絡(luò)層連上了但認(rèn)證失敗是 token 層認(rèn)證成功但隧道注冊失敗是端口或配置層注冊成功但訪問不通是本地服務(wù)層。把這幾層分清楚排查方向立刻明朗。5.2 token 與 TLS 握手失敗的典型表現(xiàn)如果日志里出現(xiàn)authentication failed或類似的提示基本就是 token 不匹配按前面說的檢查前后空格和大小寫。如果出現(xiàn) TLS 相關(guān)的握手錯(cuò)誤通常是服務(wù)端開了transport.tls.force而客戶端的證書配置沒跟上或者系統(tǒng)時(shí)間偏差太大導(dǎo)致證書校驗(yàn)失敗。后者特別隱蔽——機(jī)器時(shí)間如果錯(cuò)了幾分鐘TLS 校驗(yàn)就可能不過而人壓根想不到去檢查時(shí)間。5.3 端口占用和本地服務(wù)沒起來隧道注冊成功但外部訪問不通先確認(rèn)三件事本地服務(wù)是不是真的在跑ss -lntp | grep 端口remotePort 是不是被服務(wù)端上別的進(jìn)程占了服務(wù)端防火墻有沒有放行那個(gè)端口段。這三條里最容易忽略的是第三條很多人只確認(rèn)了控制端口 7000 是通的就以為映射端口自動(dòng)也通其實(shí)完全是兩回事。5.4 被 allowPorts 擋住的情況如果日志里出現(xiàn)類似port not allowed的提示就是服務(wù)端限制了可映射端口范圍。這時(shí)候要么找服務(wù)端管理員申請擴(kuò)大范圍要么把自己的 remotePort 調(diào)進(jìn)允許區(qū)間。這個(gè)坑的特點(diǎn)是前面所有步驟看起來都成功了只有實(shí)際訪問時(shí)不通所以一定要養(yǎng)成看完整日志的習(xí)慣別只看前面幾行。6. 日常運(yùn)維熱加載、多實(shí)例和巡檢6.1 改完配置不用重啟進(jìn)程frp 提供了一條熱加載命令改了frpc.toml之后執(zhí)行./frpc reload -c ./frpc.toml它會(huì)重新讀取配置、動(dòng)態(tài)增刪隧道已有的隧道連接不會(huì)全斷。前提是配置里開了管理接口webServer.addr 127.0.0.1 webServer.port 7400 webServer.user admin webServer.password a-strong-password這個(gè)接口同時(shí)也是一個(gè) Web 面板瀏覽器訪問http://127.0.0.1:7400能看到當(dāng)前所有隧道的狀態(tài)。特別提醒一句這個(gè)管理端口千萬別監(jiān)聽到 0.0.0.0 上還配弱密碼它不是業(yè)務(wù)端口暴露出去等于把配置控制權(quán)送人。6.2 真的需要多個(gè) frpc 時(shí)怎么做隔離有些場景確實(shí)需要多個(gè)進(jìn)程比如同一臺(tái)機(jī)器上有多個(gè)用戶各自管理自己的隧道或者要把不同環(huán)境的隧道分開。這時(shí)候建議按目錄隔離/opt/frp/team-a/frpc /opt/frp/team-a/frpc.toml /opt/frp/team-b/frpc /opt/frp/team-b/frpc.toml每個(gè)實(shí)例一個(gè) systemd 單元單元名帶后綴區(qū)分管理端口也錯(cuò)開7400、7401……。這樣任何一個(gè)實(shí)例出問題都互不影響日志也不會(huì)混在一起。6.3 用管理接口做個(gè)簡單巡檢管理接口提供了狀態(tài)查詢接口可以寫個(gè)幾行的腳本定時(shí)拉一次檢查隧道是不是都在線。一旦發(fā)現(xiàn)某條隧道掉了直接告警。這比自己時(shí)不時(shí)手動(dòng)上去systemctl status看一眼靠譜得多尤其是隧道數(shù)量上了十幾條之后肉眼檢查根本不現(xiàn)實(shí)。7. 把暴露面壓到最小幾條安全基線7.1 token 要夠長夠隨機(jī)TLS 盡量強(qiáng)制token 是整個(gè)方案的第一道門別用123456這種。生成一條真正的隨機(jī)串openssl rand -hex 32服務(wù)端和客戶端都換上同一個(gè)值。同時(shí)如果條件允許在服務(wù)端開啟 TLS 強(qiáng)制讓控制通道本身加密避免 token 和隧道數(shù)據(jù)在傳輸中被旁觀。7.2 能用 stcp 就別用裸 tcp 暴露遠(yuǎn)程桌面前面提過stcp 不對外開放任何端口只有持有相同 secretKey 的訪問方能連。遠(yuǎn)程桌面、管理后臺(tái)這類敏感服務(wù)強(qiáng)烈建議優(yōu)先用 stcp實(shí)在不方便再退回 tcp并且配合服務(wù)端防火墻做來源 IP 限制。7.3 只映射真正需要的端口一個(gè)很常見的壞習(xí)慣是把內(nèi)網(wǎng)機(jī)器的整段端口都映射出去圖省事。正確做法是一條隧道對應(yīng)一個(gè)具體服務(wù)把不需要的關(guān)掉。每多一個(gè)暴露的端口就多一份被掃描和被嘗試的風(fēng)險(xiǎn)。7.4 客戶端配置文件權(quán)限收緊frpc 的配置里存著 token這個(gè)文件的權(quán)限應(yīng)該收緊到只有對應(yīng)服務(wù)賬號(hào)能讀sudo chmod 600 /usr/local/frp/frpc.toml sudo chown nobody:nobody /usr/local/frp/frpc.toml配合 systemd 里的降權(quán)運(yùn)行即使機(jī)器上有其他低權(quán)限用戶也讀不到你的認(rèn)證信息。我自己這幾年用下來最大的體會(huì)是frpc 真正麻煩的地方從來不是怎么裝而是怎么把它當(dāng)一個(gè)長期在線的服務(wù)來對待。配置寫對一次很容易難的是半年后機(jī)器重啟、網(wǎng)絡(luò)抖動(dòng)、版本升級(jí)時(shí)它還能自己恢復(fù)。所以我現(xiàn)在的習(xí)慣是任何一臺(tái)機(jī)器上裝完 frpc第一件事就是把 systemd 的自動(dòng)重啟配好、日志落盤、管理接口只監(jiān)聽本地這三樣做完基本就不用再管它了。另外配置目錄固定、文件名固定、注釋寫清楚每條隧道是給誰用的等過幾個(gè)月回頭看時(shí)你會(huì)感謝當(dāng)時(shí)的自己。