mac内网穿透

家里那台 Mac mini 已经连续开机 47 天了。网穿我在公司用笔记本想连回去拿个文件，网穿发现电信公网 IP 早就被收回了，网穿路由器后台的网穿端口映射形同虚设。这不是网穿第一次了，去年帮朋友调试一台放在办公室的网穿 iMac，同样卡在内网访问这一步。网穿Mac 用户在这件事上比 Windows 群体更被动——能用的网穿工具少，教程大多针对 Linux 服务器，网穿而 macOS 的网穿防火墙和 SIP 机制又总在奇怪的地方拦你一下。

最省事的网穿方案其实是 Tailscale。装完登录同一账号，网穿两台设备自动组网，网穿连配置文件都不用碰。网穿我试过在 M1 MacBook Air 和 Intel Mac mini 之间传 4GB 的网穿素材包，走的是 WireGuard 加密隧道，速度跑满家里宽带上行。缺点是依赖第三方协调服务器，虽然它宣称能打洞直连，但公司网络封锁 UDP 时还是会绕道 DERP 中继，延迟从 20ms 跳到 180ms。日常 SSH 和文件共享够用，真要传大文件就得挑网络环境。

如果你不想把流量交给外部服务，frp 是另一个选择。需要一台有公网 IP 的 VPS，我手头正好有个东京的轻量服务器。在 Mac 上跑 frpc 客户端，配置写清楚本地 22 端口和远程映射端口，服务端 frps 开好对应端口。第一次跑的时候 macOS 弹了三次防火墙授权，还要去“隐私与安全性”里手动允许后台项目。搞定之后确实稳，延迟取决于 VPS 线路，东京节点过去大概 60ms。代价是得自己维护服务器，续费和系统更新跑不掉。

ngrok 这类工具适合临时演示。上周给客户看本地跑的 Next.js 项目，一条命令 ngrok http 3000 就拿到个临时域名。免费版每次重启换地址，还插一个中间跳转页。付费版能固定子域名，但月费够买台小 VPS 了。我的判断是：长期用别碰 ngrok，偶尔救急可以。

还有个偏门玩法是 Cloudflare Tunnel。装个 cloudflared 守护进程，把本地服务挂到自己的域名下，自动配 HTTPS 证书。Mac 上通过 Homebrew 安装后，cloudflared tunnel login 会弹浏览器授权，之后创建隧道、配置 DNS 记录都是命令行完成。我拿它暴露过家里的 Jellyfin，外网直接走 Cloudflare 边缘节点，速度比想象中好。不过视频流这种大流量场景，免费版条款里写得比较模糊，自己掂量。

实际折腾下来，Mac 内网穿透的痛点不在工具本身，而在 macOS 的权限模型。每次新装一个后台服务，都要去系统设置里翻半天。LaunchDaemon 和 LaunchAgent 的区别能把人绕晕，plist 文件写错一个键值就静默失败，日志得用 log show --predicate 去捞。Windows 上双击 exe 就完事的事情，在 Mac 上得跟 TCC 数据库斗智斗勇。

我的组合方案现在是：Tailscale 做日常设备互联，frp 跑在 VPS 上作为固定入口，Cloudflare Tunnel 备用。三个都装着，各管各的场景。Mac mini 的远程登录开了，屏幕共享也配好，但最常用的还是 SSH 加 tmux——图形界面走 VNC 在跨运营商网络下卡得让人想砸键盘。如果你只是偶尔连回家，Tailscale 一个就够了。别像我一样装一堆，最后自己都记不清哪个端口对应哪个服务。