从零搭建FRP内网穿透：配置详解与实战指南

1. 项目概述：为什么我们需要自己动手配置内网穿透？

如果你手头有一台放在家里的NAS，或者在公司内网开发了一个Web服务想临时给客户演示，又或者想远程访问办公室的电脑，那你大概率会遇到一个头疼的问题：这些设备和服务都在内网里，没有公网IP，从外部网络根本找不到它们。这就是内网穿透要解决的核心痛点。简单来说，它就像给你的内网服务装了一个“专属快递员”（frpc），并在一台有公网地址的“中转站”（frps）那里挂了号。外部用户访问“中转站”的特定地址，“中转站”就会把请求准确无误地“转运”到你的内网服务上。

市面上内网穿透工具很多，为什么偏偏是frp？我用了这么多年，核心就三点：开源免费、配置灵活、性能稳定。它用Go语言编写，单文件部署，对服务器资源消耗极小。更重要的是，它的配置逻辑清晰，一个frps.ini定义中转站规则，一个frpc.ini定义内网服务如何暴露，这种“服务端-客户端”的经典架构，让无论是简单的端口映射，还是复杂的TCP/UDP/HTTP/HTTPS隧道，都能通过修改配置文件轻松实现。相比于一些提供免费但限速、限流量的公共服务，自建frp意味着完全的控制权、更高的带宽和绝对的隐私安全。接下来，我就以一个典型的、拥有公网IP的云服务器作为服务端，家庭内网的树莓派作为客户端的场景，带你从零开始，手把手拆解frps.ini和frpc.ini的每一个配置项，并分享我趟过的坑和积累的技巧。

2. 核心概念与架构拆解：理解frp的工作流

在动手编辑配置文件之前，我们必须先彻底理解frp的架构和核心组件。这能让你在后续配置时，清楚地知道每一行配置在全局中扮演什么角色，出了问题该从哪里排查。

2.1 核心组件：frps与frpc的角色定位

frp的架构非常清晰，就是经典的C/S（客户端-服务器）模型：

• frps (FRP Server)：服务端。你必须将它部署在一台拥有公网IP地址的服务器上，例如阿里云、腾讯云、AWS的云主机，或者你家有公网IP且设置了端口转发的路由器后的某台机器。它的核心职责是“监听和转发”。它对外开放一个或多个端口（如7000），等待frpc来连接建立控制通道；同时根据配置，对外提供用户访问的端口（如80, 443, 6000等），将到达这些端口的用户流量，通过已建立的控制通道，转发给对应的frpc客户端。
• frpc (FRP Client)：客户端。部署在你需要暴露的内网设备上，比如你的办公电脑、家里的NAS、树莓派等。它的核心职责是“注册和等待”。它会主动连接到指定的frps服务器地址和端口，认证身份，并告知服务器：“我这里有这些服务（比如SSH、Web网站），请帮我转发流量。”连接建立后，它就开始等待frps转发过来的数据。

注意：很多人混淆了“访问方向”。用户永远不直接连接frpc。用户的访问路径是：用户浏览器/客户端 ->frps的公网IP:端口-> frps -> (通过内部隧道) -> frpc -> 内网目标服务。理解这一点对后续的防火墙配置至关重要。

2.2 核心工作流程与协议支持

一次完整的访问流程如下：

1. 启动与注册：在内网启动frpc，它读取frpc.ini，主动向frps.ini中定义的公网地址和端口发起连接，并进行身份认证（token验证）。
2. 建立控制通道：连接成功后，frps和frpc之间会建立一个持久的控制连接。这个连接主要用于传输控制信息、保持心跳和传递新的代理请求。
3. 用户访问触发：当外部用户尝试访问frps的某个特定端口（例如，访问your-server-ip:8080）时，frps会接收到这个请求。
4. 动态创建数据通道：frps通过控制通道通知frpc：“有用户要访问你注册的A服务了。”随后，frps和frpc之间会为这次请求临时建立一个独立的数据通道（对于TCP代理，可能是一个新的TCP连接；对于HTTP，则复用连接处理HTTP请求）。这个设计避免了所有流量都挤在一条连接里，提升了并发性能。
5. 流量转发：用户流量通过这个临时数据通道，从frps完整地转发到frpc，再由frpc转发给内网中真正的服务（如本机的127.0.0.1:80）。

frp支持丰富的协议，这决定了你该如何配置：

• TCP：最基础、最通用的转发。将frps的一个TCP端口，透明地映射到内网服务的一个TCP端口。适用于SSH、远程桌面、数据库、游戏服务等任何基于TCP的协议。
• UDP：用于转发UDP数据包。适用于DNS查询、视频流、某些游戏等。
• HTTP/HTTPS：七层代理。frps可以识别HTTP协议，根据域名（subdomain）或URL路径（locations）将请求转发给不同的内网Web服务。这对于在一台服务器上通过不同子域名暴露多个内网Web服务特别有用。HTTPS代理还能处理TLS解密（https2http）或透传（https2https）。
• STCP (Secret TCP)和SUDP：一种更安全的P2P穿透模式。它要求访问端也运行一个特殊的frpc（称为visitor），并且双方都需要知道同一个“访问密钥”（sk）。流量不经过frps转发，而是尝试在客户端和访问端之间直接建立连接，仅在无法直连时才由frps中转。适用于需要更高安全性的内部服务访问，避免了在frps上暴露端口。

3. 服务端配置详解：搭建稳固的中转站 (frps.ini)

我们把frps搭建在一台公网云服务器上（假设系统为Ubuntu 22.04）。这是所有流量的入口，其配置的稳定性和安全性是第一位的。

3.1 基础安装与环境准备

首先，我们需要从frp的GitHub Releases页面下载对应系统架构的二进制文件。以amd64架构为例：

# 进入一个临时目录，例如 /tmp cd /tmp # 下载最新版本的frp (请替换为实际版本号，例如 v0.52.3) wget https://github.com/fatedier/frp/releases/download/v0.52.3/frp_0.52.3_linux_amd64.tar.gz # 解压 tar -zxvf frp_0.52.3_linux_amd64.tar.gz # 进入解压后的目录 cd frp_0.52.3_linux_amd64 # 查看文件，我们会看到 frps frps.ini frpc frpc.ini ls -l

我们需要的是frps（服务端程序）和frps.ini（服务端配置文件）。将其复制到合适的系统目录，例如/usr/local/frp/：

# 创建目录 sudo mkdir -p /usr/local/frp # 复制服务端程序和配置文件 sudo cp frps /usr/local/frp/ sudo cp frps.ini /usr/local/frp/ # 进入该目录 cd /usr/local/frp

3.2 frps.ini 核心配置项逐行精讲

现在，我们来编辑frps.ini。一个功能完备且安全的最小化配置如下：

[common] bind_addr = 0.0.0.0 bind_port = 7000 kcp_bind_port = 7000 # 认证配置，强烈建议设置，这是安全的第一道防线 authentication_method = token token = your_strong_password_here # 仪表盘配置，用于监控frps状态 dashboard_addr = 0.0.0.0 dashboard_port = 7500 dashboard_user = admin dashboard_pwd = another_strong_password # 日志配置 log_file = ./frps.log log_level = info log_max_days = 3 # 连接限制与超时设置 max_pool_count = 50 tcp_mux = true

我们来逐一拆解每个配置项的含义和配置理由：

• [common]：这是必须的节头，所有通用配置都写在这里面。
• bind_addr与bind_port：bind_addr = 0.0.0.0表示监听所有网络接口，这是标准做法。bind_port = 7000是frpc连接frps的控制端口，这是frp架构的“管理通道”，必须开放。
• kcp_bind_port：KCP是一种快速、可靠的ARQ协议，在弱网络环境下（高延迟、丢包）比TCP体验更好。如果你需要通过移动网络访问，或者网络质量不佳，让frpc使用KCP协议连接（在frpc.ini中设置protocol = kcp）会提升流畅度。这里设置和bind_port一样的端口，frps可以同时处理TCP和KCP连接。
• authentication_method与token：这是重中之重！如果不设置token，任何知道你的服务器IP和7000端口的人都可以连接上来，占用你的资源甚至转发恶意流量。token是一个共享密钥，frpc连接时必须提供相同的token才能认证通过。请务必使用高强度、无规律的密码。
• dashboard_*系列配置：Web仪表盘功能。开启后，你可以通过浏览器访问http://你的服务器IP:7500，输入用户名密码，查看所有frpc的连接状态、代理列表、流量统计等信息。对于运维和调试非常有用。同样，仪表盘的密码也要设得复杂些。
• 日志配置：建议开启日志，方便排查问题。log_level可以是trace,debug,info,warn,error。生产环境用info即可。log_max_days设置日志保留天数，避免磁盘被占满。
• max_pool_count：每个代理预创建的最大连接池数量。对于短连接服务（如HTTP），可以适当调低（如5-10）；对于长连接（如SSH），保持默认或调高有助于快速响应。需要根据客户端数量和业务类型调整。
• tcp_mux：是否启用TCP多路复用。默认为true，强烈建议开启。它允许在frps和frpc之间的单个TCP连接上承载多个用户的并发请求，极大地减少了连接数，提升了性能和资源利用率。

3.3 高级安全与性能调优配置

基础配置能跑起来，但要用于生产环境，还需要考虑更多：

[common] # ... 上述基础配置 ... # 限制单个客户端可创建的代理数量，防止某个客户端过度占用资源 max_ports_per_client = 10 # 自定义二级域名后缀（仅对HTTP/HTTPS类型代理有效） # 例如设置为 `subdomain_host = example.com`，客户端配置 `subdomain = web`， # 那么用户访问 `web.example.com` 就会被转发到该客户端。 # subdomain_host = your_domain.com # TLS仅用于frps和frpc之间的控制通道加密，与暴露的HTTP/HTTPS服务无关 # tls_enable = true # 特权模式配置（允许frpc配置某些敏感参数） # privilege_mode = true # privilege_token = another_privilege_token # privilege_allow_ports = 2000-3000,3001,3003-3010

• max_ports_per_client：一个重要的资源限制配置。假设你的token不慎泄露，一个恶意客户端连上来后疯狂创建几百个代理端口，会瞬间耗光你的服务器端口资源。设置此参数可以限制单个客户端能创建的代理数量。
• subdomain_host：这是实现“基于域名的HTTP反向代理”的关键。你需要拥有一个域名（例如example.com），并将其DNS的A记录指向你的frps服务器IP。这样，当客户端配置subdomain = nas时，用户访问nas.example.com，DNS解析到你的服务器，frps接收到HTTP请求，根据Host头识别出是nas子域名，然后转发给对应的frpc。非常优雅的解决方案。
• tls_enable：为frps和frpc之间的控制通道启用TLS加密。这可以防止控制信息被窃听。注意，这和你通过frp暴露的HTTPS网站（type = https）是两回事。对于安全性要求极高的场景，建议开启。
• 特权模式：默认情况下，frpc不能配置某些可能影响服务器安全的参数，如远程连接的本地IP（local_ip， 默认为127.0.0.1）、特权端口（<1024）等。开启特权模式并配置privilege_token和privilege_allow_ports后，拥有特权token的客户端可以突破这些限制。非必要不开启，如果开启，务必使用独立的强token，并严格限制允许的端口范围。

3.4 系统服务化与防火墙配置

手动运行./frps -c ./frps.ini不是长久之计。我们需要配置systemd服务，让frps开机自启、自动重启。

创建服务文件/etc/systemd/system/frps.service：

[Unit] Description=Frp Server Service After=network.target [Service] Type=simple User=nobody Restart=on-failure RestartSec=5s ExecStart=/usr/local/frp/frps -c /usr/local/frp/frps.ini ExecReload=/usr/local/frp/frps reload -c /usr/local/frp/frps.ini LimitNOFILE=1048576 [Install] WantedBy=multi-user.target

配置解析与实操心得：

• User=nobody：使用低权限用户运行服务，是基本的安全准则。即使服务被攻破，攻击者获得的权限也有限。
• Restart=on-failure：服务异常退出时自动重启，增强稳定性。
• LimitNOFILE：提高进程可打开的文件描述符数量上限。frp作为网络代理，会持有大量socket连接，默认的1024可能不够用，特别是在高并发场景下。1048576是一个比较宽松的设置。
• ExecReload：定义了重载配置的命令。当你修改了frps.ini后，可以执行sudo systemctl reload frps来平滑重载配置，而无需重启服务中断现有连接。

接下来是防火墙，这是最容易出问题的地方。假设你使用ufw（Ubuntu）或firewalld（CentOS），必须放行相关端口：

# 对于 ufw sudo ufw allow 7000/tcp # frpc控制连接端口 sudo ufw allow 7500/tcp # 仪表盘端口（如果开启） # 假设你还要通过frp暴露一个Web服务在8080端口 sudo ufw allow 8080/tcp sudo ufw reload # 对于 firewalld (CentOS/RHEL) sudo firewall-cmd --permanent --add-port=7000/tcp sudo firewall-cmd --permanent --add-port=7500/tcp sudo firewall-cmd --permanent --add-port=8080/tcp sudo firewall-cmd --reload

重要提示：云服务器厂商（如阿里云、腾讯云、AWS）的安全组规则是另一道独立的防火墙，也必须配置，放行上述端口。很多人配置了系统防火墙却忘了安全组，导致始终无法连接。

4. 客户端配置实战：暴露你的内网服务 (frpc.ini)

服务端配置好后，我们转到内网客户端。假设我们想暴露两个服务：1）内网NAS的Web管理界面（HTTP）；2）通过SSH远程登录这台内网机器。

4.1 基础代理配置：TCP与HTTP

客户端的frpc.ini配置围绕一个个[proxy_name]的节展开，每个节代表一个要暴露的服务。

[common] server_addr = your_server_public_ip server_port = 7000 token = your_strong_password_here # 必须与frps.ini中的token一致 # 示例1：暴露SSH服务 (TCP代理) [ssh] type = tcp local_ip = 127.0.0.1 local_port = 22 remote_port = 6000 # 示例2：暴露NAS的Web界面 (HTTP代理) [web-nas] type = http local_ip = 192.168.1.100 # NAS的内网IP local_port = 5000 custom_domains = nas.your-domain.com # 或使用 subdomain # 心跳与连接保持 heartbeat_interval = 30 heartbeat_timeout = 90

• [common]节：这里配置连接服务端的参数。server_addr填你的云服务器公网IP或域名。server_port和token必须与frps中的设置严格一致。
• [ssh]代理：
  • type = tcp：声明这是一个TCP隧道。
  • local_ip和local_port：指定内网中真正提供服务的地址和端口。127.0.0.1:22表示本机的SSH服务。
  • remote_port = 6000：这是用户在公网访问时使用的端口。用户需要连接your_server_public_ip:6000。你必须在frps服务器的防火墙上开放6000端口。
  • 配置好后，你就可以用ssh -p 6000 username@your_server_public_ip来连接内网机器了。
• [web-nas]代理：
  • type = http：声明这是一个HTTP隧道。frps会解析HTTP协议。
  • local_ip和local_port：这里指向了内网中NAS的IP和Web端口（例如群晖的5000端口）。
  • custom_domains：这是关键。你需要将域名nas.your-domain.com的DNS A记录解析到你的frps服务器IP。当用户访问这个域名时，frps会根据HTTP请求头中的Host字段匹配到这个代理规则，然后转发流量。你也可以使用subdomain = nas，但前提是frps.ini中配置了subdomain_host = your-domain.com。
• 心跳参数：heartbeat_interval和heartbeat_timeout用于保持控制连接活跃。在网络不稳定的环境中，适当调小间隔（如10秒）和调大超时时间，可以防止因短暂网络波动导致的频繁重连。

4.2 高级代理类型与配置技巧

除了基础的TCP和HTTP，frp还提供了更多场景的解决方案。

HTTPS代理：如果你内网的服务本身就是HTTPS的，或者你想让frps直接处理TLS证书，可以使用HTTPS代理。

[https-web] type = https local_ip = 192.168.1.101 local_port = 443 custom_domains = secure.your-domain.com # 可选：如果frps上配置了TLS证书，可以启用 # plugin = https2https

• type = https：代理HTTPS流量。此时流量在用户-frps和frps-frpc之间都是加密的，frps不会解密内容，只是透传TLS数据包。这要求用户访问的是https://secure.your-domain.com。
• plugin = https2https：这是一个高级插件，用于在frps上终止TLS（使用frps的证书），然后以HTTPS或HTTP协议与frpc通信。这需要你在frps端配置证书，适用于统一管理证书的场景。

STCP (安全TCP) 代理：这是一种点对点的模式，不在frps上暴露公网端口，更安全。

# 在需要被访问的内网机器（服务端）上配置 [secret-ssh] type = stcp sk = my_secret_key_123 # 访问密钥，双方需一致 local_ip = 127.0.0.1 local_port = 22 # 在想要发起访问的机器（访问端）上配置 [secret-ssh-visitor] type = stcp role = visitor server_name = secret-ssh # 要访问的代理名 sk = my_secret_key_123 # 必须与上面一致 bind_addr = 127.0.0.1 bind_port = 6001

• 在服务端，配置一个type = stcp的代理，并设置一个共享密钥sk。
• 在访问端，配置一个role = visitor的代理，指定要访问的server_name和相同的sk。
• 访问端启动后，会监听本地的bind_port（如6001）。此时，在访问端机器上执行ssh -p 6001 user@127.0.0.1，流量会通过frp的STCP机制，尝试与内网服务端直连，或通过frps中转，最终到达内网机器的22端口。整个过程，frps的防火墙无需开放6000这样的远程端口，提升了安全性。

负载均衡与健康检查：对于需要高可用的服务，可以在多个内网服务器上部署相同的frpc代理，并配置相同的代理名。frps会自动将流量负载均衡到这些客户端上。此外，可以配置health_check_type和health_check_timeout_s等参数，让frps自动剔除不健康的后端。

4.3 客户端部署与管理

与服务器类似，客户端也需要稳定运行。在Linux上，同样建议配置为systemd服务。Windows上可以配置为服务或用nssm工具封装。

Linux客户端服务文件示例 (/etc/systemd/system/frpc.service)：

[Unit] Description=Frp Client Service After=network.target [Service] Type=simple User=nobody Restart=on-failure RestartSec=5s ExecStart=/usr/local/frp/frpc -c /usr/local/frp/frpc.ini ExecReload=/usr/local/frp/frpc reload -c /usr/local/frp/frpc.ini LimitNOFILE=1048576 [Install] WantedBy=multi-user.target

一个关键的实操心得：对于客户端，尤其是笔记本电脑等可能频繁变更网络的设备，建议在[common]节中加入以下配置：

[common] # ... 其他配置 ... login_fail_exit = false

login_fail_exit = false会让frpc在连接frps失败时（例如网络断开）不断尝试重连，而不是直接退出。这对于移动环境非常有用。

5. 故障排查与性能优化实录

即使配置看起来正确，在实际部署中也难免遇到问题。这里记录几个最常见的问题和我的排查思路。

5.1 连接类问题排查清单

问题现象	可能原因	排查步骤
frpc启动报错:connection refused	1. frps未启动。 2. 服务器防火墙/安全组未开放bind_port（默认7000）。 3.server_addr填写错误。	1. 登录服务器，systemctl status frps查看状态，sudo netstat -tlnp | grep :7000检查端口监听。 2. 检查服务器ufw/firewalld和云平台安全组规则。 3. 在客户端用telnet server_ip 7000或nc -zv server_ip 7000测试端口连通性。
frpc连接超时或卡住	1. 网络路由问题。 2. 服务器或客户端存在出站/入站限制。	1. 在客户端尝试ping服务器IP，检查是否有丢包和高延迟。 2. 检查客户端防火墙是否允许frpc出站连接。 3. 尝试在frpc.ini中设置protocol = kcp，使用KCP协议可能改善弱网连接。
能连接但无法访问暴露的服务	1.remote_port或 HTTP域名未在服务器防火墙/安全组开放。 2. frpc配置的local_ip或local_port错误，内网服务未启动。 3. 对于HTTP/HTTPS代理，域名DNS解析未生效或未配置。	1.再次确认服务器防火墙和安全组，这是最高频的错误！开放你配置的remote_port（如6000, 8080）或HTTP端口（80,443）。 2. 在frpc所在机器，用curl http://local_ip:local_port或telnet local_ip local_port测试内网服务本身是否正常。 3. 使用nslookup your-domain.com检查域名是否已正确解析到服务器IP。
仪表盘无法访问	1.dashboard_port未在防火墙开放。 2. 配置的dashboard_addr是127.0.0.1（只允许本地访问）。	1. 确保服务器防火墙和安全组开放了dashboard_port（如7500）。 2. 确认dashboard_addr = 0.0.0.0。

5.2 性能与稳定性调优经验

1. 连接池与多路复用：确保tcp_mux = true（默认开启）。对于大量短连接HTTP服务，可以适当降低pool_count（在代理配置中设置，如pool_count = 5）以减少服务器资源占用。对于SSH、远程桌面等长连接，保持默认或增加pool_count有助于快速建立新连接。

2. 心跳与超时：在跨国或高延迟网络中，默认的心跳间隔（30秒）和超时（90秒）可能太短，导致频繁重连。可以适当调整：

   [common] heartbeat_interval = 60 heartbeat_timeout = 180 # 控制连接的总超时 dial_server_timeout = 10 dial_server_keepalive = 7200

3. 日志排查：遇到问题时，第一时间查看日志。在frpc.ini和frps.ini中设置log_level = debug，可以获取最详细的运行信息，帮助定位问题。生产环境排查后记得改回info级别。

4. 资源限制：在frps服务器上，使用ulimit -n查看文件描述符限制。如果代理连接数很多（超过1024），需要在systemd服务文件或系统层面提高这个限制，否则会出现“too many open files”错误。

5. 带宽监控：frps仪表盘提供了基本的流量统计。对于更详细的监控，可以考虑配合Prometheus和Grafana（如果frps版本支持metrics），或者使用服务器自带的工具如iftop,nethogs监控网卡流量，避免服务器带宽被未知流量占满。

5.3 安全加固要点

1. 强Token认证：这不再赘述，是必须项。
2. 最小化端口暴露：只开放必要的端口。例如，如果只用HTTP/HTTPS代理，可以只开80/443和7000端口，关闭无用的remote_port。
3. 使用特权模式白名单：如果必须使用特权模式，务必用privilege_allow_ports严格限定允许的端口范围，避免客户端滥用。
4. 定期更新：关注frp项目的GitHub Releases，定期更新到稳定版本，修复潜在的安全漏洞。
5. 隔离运行：使用nobody或新建的专用低权限用户运行frps/frpc进程。
6. HTTPS与TLS：对于Web服务，尽量使用type = https或配置域名SSL证书。对于控制通道，可以考虑开启tls_enable。

配置frp内网穿透，从简单的端口映射到复杂的基于域名的Web服务暴露，其核心在于理解“流量走向”和“配置对应关系”。每一次配置，其实都是在清晰地告诉frps：“当有流量以某种方式（某个端口或域名）来到你这里时，请通过那条我建立好的隧道，原封不动地送到我内网的这个地址上。” 理清这个逻辑，再结合详细的日志和循序渐进的排查，绝大多数问题都能迎刃而解。这套自建的内网穿透方案，在稳定运行了几年后，其可控性和性价比依然是任何第三方免费服务无法比拟的。