无公网ip内网穿透

家里那台树莓派跑着博客和文件同步服务，无公网i网穿宽带却迟迟不给公网IP。无公网i网穿打电话问运营商，无公网i网穿客服说IPv4地址早就枯竭了，无公网i网穿个人用户默认分配内网地址。无公网i网穿这事儿不是无公网i网穿个例——2023年国内三大运营商的新装宽带里，超过八成用户拿到的无公网i网穿都是10.x.x.x或100.64.x.x的地址。想从外面访问家里的无公网i网穿服务，门都没有。无公网i网穿

内网穿透要解决的无公网i网穿就是这个：让你的内网设备能被公网访问，但不需要公网IP。无公网i网穿原理说白了就一句话——找一台有公网IP的无公网i网穿服务器做中转，内网机器主动连上去，无公网i网穿把请求转发回来。无公网i网穿

先搞清楚你面对的无公网i网穿是什么

NAT（网络地址转换）是罪魁祸首。路由器把内网地址翻译成一个公网地址，但这个映射关系是单向的——你能出去，外面进不来。更麻烦的是运营商级NAT（CGNAT），你自己路由器的WAN口地址都是内网地址，双重NAT叠着，端口映射根本没用。

判断方法很简单：登录路由器看WAN口IP，如果是10开头、172.16到172.31、192.168开头，或者100.64到100.127开头，那就是内网地址。再对比一下百度搜“IP”显示的地址，两者不一致就坐实了。

几条实际能走的路

frp是我用得最久的方案。需要一台公网服务器，阿里云最便宜的轻量应用服务器一年不到一百块。服务端跑frps，内网机器跑frpc，配置文件几行就搞定。把本地22端口映射到服务器的6000端口，SSH直接连服务器6000就能进内网机器。HTTP服务也一样，配合Nginx做反向代理，域名绑定就完事。

缺点是依赖那台公网服务器。服务器挂了，穿透就断了。流量也走服务器中转，带宽受服务器限制。我当时买的是1M带宽的套餐，传文件慢得想砸键盘。

WireGuard是另一条路，更底层。它建立的是VPN隧道，不只是端口转发。家里路由器刷了OpenWrt，装WireGuard插件，和公网服务器建隧道。在外面连上VPN，就像回到了家里的局域网，所有设备直接访问。延迟比frp低，因为没有应用层转发开销。

配置稍微麻烦点，密钥对、AllowedIPs、Endpoint这些概念第一次接触容易懵。但跑通之后很稳，我现在主要用这个。

Tailscale值得单独说。它基于WireGuard，但把配置全自动化了。两端装客户端，登录同一账号，自动打洞建立直连。打洞失败才走中继。免费版支持100台设备，个人用绰绰有余。

实测下来，电信和联通之间打洞成功率挺高，移动网络稍差。直连成功后延迟和局域网差不多，看4K视频都不卡。缺点是需要信任它的协调服务器，虽然数据是端到端加密的，但设备认证依赖第三方。

几个容易踩的坑

运营商封端口是常事。80、443、8080这些常见端口，很多地区直接封掉。frp的HTTP代理走7000以上的端口通常没事。WireGuard默认51820 UDP，有些网络环境会QoS限速，换个端口可能就好了。

动态公网IP的场景——有些地区还能要到公网IP，但是动态的。DDNS配合起来用，frp服务端地址填域名，IP变了自动更新。这个组合用了两年，没出过问题。

安全别忽视。frp的dashboard默认端口7500，不设密码就是裸奔。token认证一定要开，最好再加个防火墙规则限制来源IP。WireGuard的私钥文件权限设成600，别问我怎么知道的。

内网穿透没有万能方案。有公网服务器且追求可控性，frp最直接。需要完整局域网访问，WireGuard更合适。懒得折腾，Tailscale开箱即用。我现在的组合是Tailscale日常用，frp做备用通道，两条路互不依赖。