作为一名技术爱好者，我对“折腾”这件事总是乐此不疲。内网穿透，这个听起来有点 geek 范儿的技术，最初吸引我是因为一个简单而迫切的需求：无论身在何处，我都想随时随地连上家里的那台性能怪兽（12 核心，64GB 内存，简直是程序员的梦中情机）。这些年断断续续玩过了 FRP、ZeroTier、Tailscale 以及最近不久了解到的 Cloudflare Tunnel。今天，我就结合自己的折腾经历，聊聊内网穿透的那些技术和故事，顺便梳理一下它们的原理、特点和适用场景，希望能给同样爱折腾的你一点启发。
初探内网穿透：FRP 的甜蜜与苦涩
时间回到 2019 年，我第一次接触内网穿透。当时我经常出差，但总惦记着家里的电脑，想通过远程桌面用它来跑一些计算密集的任务（比如偶尔跑个深度学习模型）。一个朋友推荐了 FRP（Fast Reverse Proxy），一个开源的内网穿透工具，号称简单高效。我兴冲冲地在网上买了个最便宜的云服务器（公网 IP 是必须的），在家里的电脑上配置好 FRP 客户端，云服务器上跑 FRP 服务端，简单设置后，果然可以通过公网访问家里的电脑了！
FRP 的技术原理
FRP 的核心是一个反向代理机制。简单来说，家里的电脑（客户端）通过一个长连接（通常是 TCP 或 WebSocket）与公网服务器（服务端）保持通信。当外部请求到达公网服务器时，服务器通过这个长连接将请求转发到内网设备上。它的架构如下：
- FRP 服务端：运行在公网 IP 的服务器上，监听外部请求。
- FRP 客户端：运行在内网设备上，主动连接服务端并注册服务。
- 通信协议：支持 TCP、UDP、HTTP 等多种协议，灵活性很强。
配置过程其实不复杂，写个 frp.ini 文件，指定端口、协议和认证 token，启动后就能实现内网到公网的映射。听起来完美，对吧？但现实总是骨感的……
我的 FRP 惨痛教训
FRP 用了一段时间后，我发现家里的电脑 CPU 占用率异常高，查了进程才发现——天哪！居然被植入了挖矿程序！后来复盘才知道，我在配置 FRP 时权限没设置好，token 过于简单，服务端的安全策略也没做严格限制，结果被黑客扫描到，轻松攻破。这次教训让我深刻认识到，内网穿透的安全性至关重要，尤其是暴露在公网的服务器，必须做好防火墙、认证和端口管理。
从此，我对 FRP 有点“心理阴影”，决定寻找更省心、更安全的方案。
ZeroTier：家庭 VPN 的优雅解决方案
2022 年，我搬到了新加坡，家里的电脑也跟着“移民”。新环境里，我依然有远程访问的需求，比如在公司或咖啡店里连回家里的 NAS 下载文件，或者远程调试代码。这时候，我发现了 ZeroTier，一个号称“让网络像局域网一样简单”的工具，体验下来只能用“惊艳”来形容。
ZeroTier 的技术原理
ZeroTier 是一个基于 P2P（点对点）的虚拟网络工具，核心思想是通过软件定义网络（SDN）创建一个虚拟的局域网。它的实现基于以下技术：
- 虚拟网络接口：ZeroTier 在设备上创建虚拟网卡，所有设备仿佛在同一个局域网内，分配私有 IP（如 10.x.x.x）。
- P2P 连接：设备间优先尝试直接连接（通过 NAT 穿透技术，如 STUN），如果失败，则通过中继服务器（ZeroTier 的官方节点）转发。
- 加密与认证：使用端到端加密（256 位 AES），通过公钥认证确保安全。
- 管理控制台：通过 ZeroTier 的云端控制面板管理网络，添加或移除设备。
ZeroTier 的最大优势是不需要公网 IP，也不用自己维护服务器。它就像一个“虚拟网线”，把你的设备连成一个私密的局域网。
我的 ZeroTier 折腾记
ZeroTier 的安装和配置简单得令人感动。下载客户端，加入一个虚拟网络（通过网络 ID），几分钟内我的手机、笔记本和家里的电脑就“连”在了一起。后来，我还把 ZeroTier 部署到家里的 OpenWRT 软路由上，这样家里所有设备（包括 NAS、智能电视，甚至没装 ZeroTier 客户端的设备）都能通过路由器的虚拟网卡接入这个虚拟局域网。从此，我在外面用手机或笔记本就能直接访问家里的任何设备，体验丝滑无比。
唯一的小遗憾是，ZeroTier 的免费版限制了设备数量（最多 50 台），而且偶尔会因为 NAT 类型问题导致连接速度不稳定。但对于个人使用，这已经足够好用了。
Tailscale：WireGuard 驱动的下一代 VPN
在新加坡生活了一段时间后，我开始听说 Tailscale，一个基于 WireGuard 协议的内网穿透工具。WireGuard 号称是下一代 VPN 协议，性能和安全性都比传统 VPN（如 OpenVPN）强不少。我决定试试看，结果发现 Tailscale 不仅能干 ZeroTier 的活，还带来了更多惊喜。
Tailscale 的技术原理
Tailscale 基于 WireGuard，WireGuard 是一个轻量级、高性能的 VPN 协议，核心特点是代码极简（不到 4000 行）和加密高效（使用 ChaCha20 加密）。Tailscale 在此基础上添加了用户友好的管理层：
- 去中心化连接：与 ZeroTier 类似，Tailscale 优先尝试 P2P 连接，失败时通过中继服务器（DERP 服务器）转发。
- 身份认证：通过 OAuth 或 SSO 登录，自动生成设备密钥，管理非常方便。
- 出口节点：可以指定某个设备作为网络的出口节点，所有流量通过该设备转发，相当于动态调整网络出口。
Tailscale 的配置几乎是“零配置”，登录后自动分配 IP 和域名，设备间就能互相访问。
Tailscale 的“救命”时刻
2023 年回国休假时，Tailscale 成了我的“救命稻草”。由于众所周知的原因，国内访问 YouTube 和 Twitter（哦，现在叫 X）并不顺畅。我把新加坡家里的电脑设为 Tailscale 的出口节点，这样我在国内的笔记本流量全部通过新加坡的电脑中转，刷 YouTube 和 X 毫无压力，1080p 视频流畅播放，简直爽到飞起！更妙的是，Tailscale 的性能损耗极低，延迟几乎感觉不到。
Cloudflare Tunnel：去中心化的曙光
最近，我又折腾了一个新玩意儿——Cloudflare Tunnel。这次的需求跟之前略有不同：我想把家里的 NAS 变成一个对外提供服务的“服务器”，比如跑一个个人博客或文件分享服务，但家里没有公网 IP。Cloudflare Tunnel 完美解决了这个问题。
Cloudflare Tunnel 的技术原理
Cloudflare Tunnel（也叫 Cloudflare Argo Tunnel）通过 Cloudflare 的全球 CDN 网络，将内网服务安全地暴露到公网：
- cloudflared 客户端：在内网设备上运行，创建到 Cloudflare 边缘服务器的加密隧道（基于 QUIC 协议）。
- DNS 解析：用户需要一个托管在 Cloudflare 的域名，当注册成功 cloudflared 后，后面管理页面会自动配置后相应的 CNAME 记录。
- 访问控制：通过 Cloudflare 的 Zero Trust 平台，可以设置访问策略（如只允许特定用户访问）。
与传统的内网穿透不同，Cloudflare Tunnel 不需要公网 IP，也不需要开放本地防火墙端口，所有流量通过 Cloudflare 的加密隧道传输，安全性和可靠性都很高。
我的 Cloudflare Tunnel 初体验
我注册了一个免费的 Cloudflare 账号，买了个便宜的域名（比如 mynas.example.com），然后在家里的 NAS 上跑 cloudflared 客户端，配置好隧道后，我的 NAS 就能通过域名对外提供服务了！比如，我把 NAS 上的 Jellyfin 媒体服务器暴露出去，现在朋友们可以通过我的域名直接访问我的电影库（当然，我加了密码认证，学到了 FRP 的教训）。更重要的是，Cloudflare 的全球 CDN 让访问速度非常快，完全不像是在访问一个家里的设备。
我觉得 Cloudflare Tunnel 的最大意义在于“去中心化”。它让普通人也能轻松把家里的设备变成“服务器”，不需要依赖昂贵的云服务。这种技术有点像让互联网回归了最初的“人人皆可贡献内容”的精神。
技术对比与适用场景总结
折腾了这么多年，我用过的内网穿透技术各有千秋，下面是它们的对比和适用场景总结：
| 技术 | 核心原理 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|---|
| FRP | 反向代理，客户端-服务端中转 | 轻量、灵活，支持多种协议，配置简单 | 需要公网 IP 服务器，安全配置复杂，易被攻击 | 简单内网穿透，预算有限的个人用户 |
| ZeroTier | P2P 虚拟局域网 | 无需公网 IP，配置简单，支持多设备，适合家庭 VPN | 免费版设备数量有限，NAT 穿透可能不稳定 | 家庭或小型团队的虚拟局域网 |
| Tailscale | WireGuard 协议的 VPN | 高性能、零配置、支持出口节点，安全性强 | 免费版限制设备数量，高级功能需付费 | 跨地区访问、需要高性能 VPN 的场景 |
| Cloudflare Tunnel | Cloudflare 加密隧道 | 无需公网 IP，安全性高，集成 CDN 加速，支持去中心化服务 | 需要域名，依赖 Cloudflare 生态 | 对外暴露内网服务，如个人博客、NAS 等 |
我的推荐
- 如果你是初学者：试试 Tailscale，配置简单，体验好，基本能满足个人需求。
- 如果你追求去中心化：Cloudflare Tunnel 是最佳选择，尤其是想对外提供服务的场景。
- 如果你预算有限且技术硬核：FRP 依然是个好选择，但务必做好安全配置。
- 如果只想搞个家庭 VPN：ZeroTier 是最省心的方案，特别适合部署在路由器上。
写在最后
从 FRP 的“翻车”到 Tailscale 的“救命”，再到 Cloudflare Tunnel 的“去中心化”尝试，我的内网穿透之旅充满了惊喜和教训。每种技术都有它的独特魅力，也让我感受到技术折腾的乐趣。内网穿透不仅解决了我的实际需求，还让我对网络的本质有了更深的理解：互联网本该是开放、自由、去中心化的，而这些工具正在帮我们一点点实现这个愿景。
希望我的经历能给你一些启发！如果你也在折腾内网穿透，欢迎留言分享你的故事，或者来吐槽那些让你抓狂的配置坑！