企业官网建设流程全解析

记不清这是第几次被人问到“内网穿透用什么好”了。上周我一个老朋友折腾家里那台群晖 NAS，想在地铁上翻照片，自己搜了一堆资料，最后被玩法各异的方案整得更懵。我把手头常用的四条路径整理成了一份选型笔记，也就是这篇要展开讲的 FRP、ZeroTier、Ngrok 和花生壳。这四个名字基本覆盖了“内网穿透软件哪个好”这个问题下面九成以上的答案，也对应着完全不同的使用思路。这篇文章我会把每个方案的原理、部署成本、实际体验和踩坑点都摊开讲清楚，最后按场景给选型建议。家里有 NAS、远程要连电脑、经常调试接口，或者纯粹想在公司访问家里设备的朋友，都可以拿它当参考。

内网穿透这个事，本质上解决的是一个很朴素的问题：你的设备在私网里，外面怎么找到你。网络世界里私网 IP 遍地都是，公网 IP 却是稀缺资源。运营商给家庭宽带的往往还是一个动态的、甚至是大内网套小内网的地址，想要让外网设备直接访问到家里的服务，就必须靠一条“隧道”把流量带出去。市面上的穿透工具看起来五花八门，底层思路其实就那么几条，搞清楚了就不容易选错。

1. 内网穿透到底在解决什么问题

1.1 没有公网 IP 的日常困境

先聊一个最简单的场景。你在家里用一台旧电脑跑了个下载服务，或者装了监控录像的查看页面，在同一个 WiFi 下访问毫无压力，IP 填 192.168.1.x 就行。但一旦人出了门，用手机流量访问同一个地址，立刻就不通了，因为 192.168.1.x 是私网地址，公网上的设备根本不知道怎么把数据包送给它。

这时候人们的第一反应是去路由器里做端口映射，把公网某个端口转到内网某台设备的端口。这个思路本身没错，但它有两个前提：第一，你得有公网 IP；第二，这个 IP 得能被外部稳定访问。现实情况是很多地区的家庭宽带不再分配独立公网 IPv4 地址，用户拿到的其实是一个共享出口，想在路由器上做端口映射完全无从下手，因为你的“公网 IP”根本不在自己手里。IPv6 虽然能解决一部分问题，但运营商给家庭宽带的 IPv6 地址也经常变化，而且不少设备、不少程序对 IPv6 的支持还是很别扭。

这就给内网穿透工具留出了巨大的发挥空间。穿透工具的核心作用，是让内网设备主动向外网的一个“中间据点”建立连接，再通过这个据点把外部请求转发回内网。因为连接是内网设备主动发起的，所以不需要公网 IP，也不需要路由器上的端口映射，天然绕开了上面的两个限制。

1.2 穿透方案的四种技术路线

把主流的穿透工具归类之后，你会发现其实就是四条技术路线。

第一种是自建中转隧道。典型代表是 FRP。你需要有一台带公网 IP 的云服务器，在上面跑一个服务端程序，内网设备跑客户端程序，两边建立一条通道。外部用户访问服务器上的某个端口时，流量会被原封不动地通过这条通道送到你家内网的服务上。这种方案完全自己掌控，灵活度最高，代价是你得会点 Linux 命令，还要养一台服务器。

第二种是虚拟组网。典型代表是 ZeroTier。它不再围绕“某个端口”做文章，而是把你分散的设备拉进同一张虚拟局域网里，每台设备获得一个类似 10.x.x.x 的虚拟 IP，互相之间可以直接访问。底层它会在合适的网络条件下自动打洞实现点对点直连，速度非常理想。

第三种是托管隧道。典型代表是 Ngrok 官方服务，国内的 cpolar、樱花内网穿透也属于这类。服务商替你把中转服务器准备好，你只需要下载一个小客户端并运行，就能拿到一个公网域名或公网端口，立刻开始转发。上手最快，但免费版限制不少。

第四种是商业映射服务。典型代表是花生壳。它其实是把第二种思路上面的“服务器搭建”做成了云服务，用户注册个账号，装个客户端，点几下就能添加映射。全程不需要碰代码和配置文件，适合完全不想折腾的人。

清楚了这四条路线，后面看每个工具的对比就很容易对号入座了。

2. 四个主流方案逐个拆解

2.1 FRP：自由度最高的自建中转方案

FRP 全称是 Fast Reverse Proxy，是一个开源项目，Github 上热度非常高。它的架构很清晰：一个有公网 IP 的云服务器跑 frps，也就是服务端，家里那台设备跑 frpc，也就是客户端。frpc 启动后会主动去连 frps，把这个连接保持在后台。外部访问者请求云服务器的某个端口，frps 就把数据内容传递给这条已经建立好的通道，frpc 再转给内网的目标服务。

FRP 最大的优势是自由。它支持的协议非常多，TCP、UDP、HTTP、HTTPS 都能转，这意味着你不仅能穿 Web 服务，SSH、远程桌面、数据库连接、游戏服务器，只要能跑在特定端口上的东西它都能转发。它还提供了 stcp 和 xtcp 这两种特殊的 P2P 模式，可以在特定条件下跳过服务器中转，让两边直接建立连接，速度上限一下子高很多，代价是配置复杂度和打洞成功率都有不确定性。

我自己的主力方案就是 FRP。长期挂机的服务我会走普通中转模式，因为云服务器带宽虽然不宽，但胜在稳定。偶尔需要在两台机器之间传大文件，我再临时起一个 xtcp 的配置，让它尝试直连，能跑满家庭宽带上行就非常爽。FRP 的缺点同样明显：你必须花时间维护一台服务器，还得处理 TLS 证书、token 认证、防火墙放行这些事。没有 Linux 基础的人第一次接触会有点懵，但一旦跑起来，稳定性和可控性远远好于任何托管服务。

顺便说一句，网上还能看到一些“火点 frp”这样的第三方名称，本质是有人把 FRP 做成了托管服务，帮你把服务端和客户端都包好了。好处是自己不用买服务器，坏处是数据从别人那边绕一圈，隐私和稳定性都没法完全掌控，适合临时测一测，不适合正式用它承载敏感数据。

2.2 ZeroTier：把分散设备组进一张虚拟局域网

ZeroTier 的思路和 FRP 完全不同。它不做端口转发，而是直接构建一张 Overlay 虚拟网络。你在 ZeroTier 官网注册一个账号，创建一个网络，会得到一个 16 位的网络 ID。家里电脑、公司电脑、手机、NAS 都装上客户端，加入同一个网络 ID，然后在网页后台把设备勾选成允许加入，它们就互相“认识”了，每台设备会拿到一个像 172.28.x.x 这样的虚拟 IP。之后你可以像访问局域网机器一样访问它们，跑 RDP、SSH、SMB 文件共享，随便什么协议都行。

ZeroTier 的厉害之处在于它内部有一套协调机制。设备刚加入网络时，会通过 ZeroTier 官方的根服务器来交换彼此的位置信息，然后尝试 NAT 穿透。如果两边的网络类型允许，数据就直接在设备之间点对点传输，完全不经过谁的服务器，速度取决于你家里宽带上行和你所在位置访问它这段链路的实际质量。打洞不成功的情况下，流量会走官方中继服务器转发，速度就差很多，这个问题后面我会详细讲怎么排查。

我觉得 ZeroTier 最舒服的使用场景不是“向公网暴露某个服务”，而是“让你的多台私人设备组成一个私密网络”。它不需要你去记一堆公网端口，所有设备都在一个大内网里，你可以用它把一台放在老家的 Linux 小主机变成一台随时可用的远程开发机，也可以把公司电脑和家里 NAS 放在同一张网络里直接映射网络驱动器。免费套餐对于个人使用通常绰绰有余，这也是它近几年越来越火的原因。

它的门槛在于：第一，用它的前提是双方都需要安装客户端，你不能只在一端操作就让外面的朋友访问你的服务；第二，网络里的设备数量多了之后，派发 IP、管理授权也需要一点学习成本；第三，如果两台设备之间存在严格对称型 NAT，或者处于运营商级 CGNAT 后面，打洞会失败，这时候就需要自己搭建 Moon 节点来担当协调者甚至中继。

2.3 Ngrok：临时调试场景的最快选择

Ngrok 是一个非常老的隧道工具，几年前还没几个人知道内网穿透这个概念时，程序员们就已经用它来调试本地代码了。它的用法极度简单：在本地装一个 ngrok 客户端，运行一行命令，比如ngrok http 8080，工具就会自动连上 ngrok 官方的服务器，同时告诉你一个公网 HTTPS 地址。别人访问这个地址，流量就会被原封不动地转发到你本地 8080 端口的服务上。

这个体验在联调场景里简直救了大命。比如你本地跑了一个微信小程序后端服务，微信服务器要求回调地址必须是公网 HTTPS 域名，总不能为了联调就把代码部署到云服务器上去。用 ngrok 起一个隧道，瞬间就有一个公网地址可以填进回调配置里，日志在本地直接看，改完代码刷新就生效。类似的还有对接支付平台的 webhook、给客户临时演示一个网页效果、把自己机器的某个 TCP 端口短期暴露给朋友联机玩游戏。

Ngrok 免费版的限制也一直存在。免费用户拿到的域名是随机分配的，每次重启隧道域名都会变，而且国内直连官方服务器的稳定性并不尽如人意。它的 2.0 版本之后，官方把客户端和服务端做了强关联，自己部署一套 ngrok 服务端已经比较麻烦，网上很多教程也过时了。所以我现在更倾向于把它当作一个“临时快捷方式”，而不是长期使用的主力方案。需要长期稳定暴露服务的地方，我会用 FRP 自己搭。如果实在不想折腾服务器，也可以试试文字热词里经常一起出现的 cpolar。cpolar 的定位类似 Ngrok 官方服务，界面是中文的，浏览器里就能管理隧道，免费版也提供可用的随机域名和固定的 TCP 隧道，上手体验比 Ngrok 官方省心不少。

2.4 花生壳：适合小白的商业托管服务

花生壳是国内老牌的动态域名解析和端口映射工具，很多年前大家还在用动态公网 IP 连家里电脑时，它就是非常出名的选择。如今它转型成了托管式的内网穿透服务，思路很清晰：服务端的维护交给贝锐，客户端软件做得足够傻瓜化，在官网注册账号、下载客户端、登录后在界面里添加一个映射规则，填写内网设备的 IP 和端口，它就会给你分配一个外网访问地址。整个过程不到五分钟就能跑通，不需要碰命令行，也不需要理解什么 TCP、UDP、token。

它最大的优势就是省心。免费版可以用来体验，日常使用会有速度限制、流量限制和映射数量限制，当你需要更快的速度和更多映射条目时，就得按年付费订阅。付费价格不算贵，但对于经常折腾的人来说，最让人纠结的是数据都会通过花生壳的服务器中转，带宽和延迟受限于你购买的套餐等级。

我给完全不懂技术的朋友远程协助时，会建议他们装花生壳来临时救急。比如家里的打印机想在外面用，或者有人需要从办公室访问家里的监控后台，装个花生壳客户端几分钟就能解决。但如果他们打算长期稳定地跑一个需要消耗较大流量的服务，我一般还是劝他们找一台便宜云服务器，我用 FRP 帮他们搭好，毕竟自己手里的服务器始终比托管服务更可控。

3. 横向对比与选型建议

3.1 一张表看清四个方案的核心差异

当你把四个方案放到同一张表格里，彼此之间的侧重就非常明显了。

这个表能解释很多现象。FRP 的上限最高但门槛也最高；ZeroTier 在“设备互相访问”这个场景下体验最好，因为它天生就是一张虚拟局域网；Ngrok 和花生壳这一类托管服务的核心价值是省事，代价是自由度和性能都要打折扣。

3.2 按场景选型的判断顺序

选型其实不需要把每个工具的所有文档都读一遍，按下面这个顺序问自己三个问题就够了。

第一问：你手里有没有一台能长期使用的云服务器？如果有，而且你愿意花半小时配置一次，FRP 几乎是全能答案。它既能做端口转发，也能做 P2P 打洞，还能搭配各种认证和加密，长期稳定性也最好。这是我个人最推荐的主力方案。

第二问：你的核心需求是“让多台设备互相访问”还是“向公网暴露一个特定服务”？如果是前者，比如在家里 NAS、公司电脑、手机之间传文件，ZeroTier 体验远超 FRP。它在设备之间建立的是网络连接，访问方式和局域网完全一样，不需要为每个服务单独折腾端口映射。如果是后者，比如做一个网站或对接一个公网 API，FRP 或托管隧道更自然。

第三问：你是想长期用，还是临时救急？长期用且不想维护服务器，可以看看 cpolar 这类国内托管隧道，或者接受花生壳的付费套餐。临时调试、给别人演示一下，直接用 Ngrok 官方服务的免费额度一分钟搞定。

4. 实操细节：FRP 与 ZeroTier 部署避坑

讲完选型思路，我挑两个最有代表性和实操价值的方案展开说：FRP 和 ZeroTier。一个代表中转隧道，一个代表虚拟组网。剩下两款工具的官网指引已经足够友好，我就不在这里重复了。

4.1 FRP 从下载到开机自启

FRP 的部署分两端。服务端放在有公网 IP 的云服务器上，客户端放在家里那台需要被访问的设备上。

先去 GitHub 找到 FRP 的 Releases 页面，下载对应你系统架构的压缩包。服务器一般是linux_amd64，家里如果是树莓派或 ARM 平台的 NAS，就得选linux_arm64。怎么判断？在终端里输入uname -m，输出x86_64就选 amd64，输出aarch64就选 arm64。

下载后用tar -xzf frp_xxx.tar.gz解压，你会看到frps、frpc两个可执行文件，以及对应的.toml配置文件。新版 FRP 从 0.52 版本开始全面使用 TOML 格式，网上老教程里那种[common]的 INI 写法已经过时，不要照抄。

服务端frps.toml最简单版本长这样：

bindPort = 7000 auth.method = "token" auth.token = "换成一段足够长的随机字符串"

客户端frpc.toml这样写：

serverAddr = "你的云服务器公网IP" serverPort = 7000 auth.method = "token" auth.token = "和服务端一致的token" [[proxies]] name = "nas-web" type = "tcp" localIP = "192.168.1.10" localPort = 5000 remotePort = 7500

这段配置的意思是把家里 192.168.1.10 这台设备的 5000 端口，映射到云服务器的 7500 端口。外部访问云服务器IP:7500，流量就会通过隧道打到家里的 5000 端口上。

启动也很简单，服务端跑./frps -c frps.toml，客户端跑./frpc -c frpc.toml。如果一切正常，日志里会出现一条login to server success类似的信息。

这里有几个非常容易踩的坑：

第一个坑是云服务器安全组和系统防火墙。很多新手在云服务器里把程序跑起来了，但外部怎么都访问不到，十有八九是安全组没有放行端口。阿里云、腾讯云这些平台即使服务器系统内部的防火墙关闭了，控制台里的安全组规则仍然会拦截入站流量。你需要同时放行 frps 的 bindPort（7000）和映射出去的 remotePort（7500）。

第二个坑是 remotePort 不能和服务器上已有服务的端口冲突。如果云服务器上已经跑了 Nginx 占着 80 和 443，你非要映射 remotePort = 80，服务会直接启动失败报端口占用。先执行ss -tlnp | grep 7500确认一下端口是空闲的再用。

第三个坑是要保持 frpc 长期运行。手动执行程序只能运行在当前终端里，一旦终端退出进程就没了，最稳的办法是注册成 systemd 服务。在你的服务器上新建/etc/systemd/system/frpc.service，写上：

[Unit] Description=frp client After=network.target [Service] ExecStart=/root/frp/frpc -c /root/frp/frpc.toml Restart=always RestartSec=5 [Install] WantedBy=multi-user.target

然后依次执行systemctl daemon-reload、systemctl enable frpc --now，就能实现开机自启和异常退出自动拉起。服务端 frps 同理，按照这个套路写一个 service 文件放到服务器上即可。

还有一个额外建议：如果穿透的是 Web 服务，最好在 frps 侧配置 TLS，或者在 frpc 里指定transport.tls.enable = true，至少把传输内容加密一下，避免数据在链路上裸奔。如果你对自己服务器性能有信心，也可以直接在 frpc 前面再套一层 Nginx 反向代理做终结，具体要求看你的场景，但加密这件事千万不要省。

4.2 ZeroTier 组网与打洞调优

ZeroTier 的起步非常顺手。去 my.zerotier.com 注册一个账号，创建一个网络，记下那串 16 位的 Network ID。然后在你需要加入网络的设备上安装客户端，Windows 和 macOS 有图形界面，Linux 上执行安装脚本后运行：

sudo zerotier-cli join 你的网络ID

加入之后，到网页后台的设备列表里能看到这台设备的 MAC 地址和 IP，这时候它还没有获得授权。你需要在这条设备记录前打勾，允许它加入网络。如果默认的 IP 分配方式不符合你的要求，可以在后台手动给它设置一个固定的虚拟 IP，比如 172.28.0.20，这样后续访问路径就稳定了。所有设备都授权完毕之后，互相ping一下就通了。

这套流程看着简单，但实际用起来最容易踩的是两个点。

第一个点：ZeroTier 只是把安装了客户端的设备拉进虚拟网络，它不能直接访问该设备所在物理局域网中其他设备。也就是说，A 电脑加入了某个 ZeroTier 网络，你想通过 A 这台设备去访问它旁边一台没装 ZeroTier 的打印机，是行不通的。想要实现这种效果，需要在 A 设备上开启 IP 转发并配置 NAT 规则，让虚拟网络的流量可以从 A 的物理网卡转发出去。Linux 上一般需要开启net.ipv4.ip_forward，再加上一条 iptables MASQUERADE 规则。这个操作有一定门槛，但如果你真需要“一台设备带着整个家里局域网接入”，花点时间研究是值得的。

第二个点：性能表现全看打洞结果。ZeroTier 网络最理想的状态是设备之间点对点直连，数据不经过官方服务器，传输速度接近家里宽带上限。但现实是很多网络环境打洞失败，流量自动走了官方中继，延迟高、速度慢。怎么看自己走的是直连还是中继？执行：

sudo zerotier-cli listnetworks # 查看虚拟网络状态 sudo zerotier-cli peers # 查看对端连接类型

如果peers输出里对端的关系是 DIRECT，说明打洞成功，慢就是链路质量问题；如果是 RELAY，说明流量走了中继，优先解决打洞。常见的解决办法包括：检查两端的 NAT 类型，避免双方都是对称型 NAT；给路由器开启 UPnP；确认没有防火墙拦截 ZeroTier 使用的 UDP 端口。环境实在打不通洞的，就自建一个 Moon 节点，把 Moon 服务器加到网络里，至少能把 RELAY 节点稳定在中转效果更好、离你更近的服务器上。

5. 常见问题与排查技巧实录

5.1 隧道通，但数据传输速度上不去

这个问题在 FRP 和花生壳里最常见，在 ZeroTier 里也不少。如果你用的是中转模式，先看服务器的带宽。很多便宜云服务器默认为 1Mbps 到 5Mbps 的小水管，跑满也就几百 KB 每秒，这不是工具不行，是上游带宽限制死了。解决办法要么升级服务器的带宽套餐，要么换成 P2P 模式让流量不走服务器。FRP 的 xtcp 和 ZeroTier 的直连本质上都是这个思路，先把数据通道从“绕远路”改成“抄近道”，速度才能有质的提升。如果 P2P 已经打通但速度仍然不理想，检查一下两端的 MTU 值，或者尝试在客户端配置里关闭 IPv6，某些网络环境下 IPv6 开启反而干扰了 UDP 打洞。

5.2 加入了网络却互相 ping 不通

ZeroTier 入网后 ping 不通，绝大多数原因是设备没有在网页后台被授权。我见过不少朋友把 Network ID 填进去，看到客户端显示请求加入就以为完事了，其实还需要管理员到后台的成员列表里点那个勾，这一步不做，设备始终处于未激活状态。排除授权问题之后，再看系统防火墙。Windows 设备加入专用网络时如果被识别成了公用网络，默认就会拦截各种入站请求，手动切换网络配置文件类型或者放行相关端口就能解决。如果授权和防火墙都没问题，但依然不通，大概率是路由问题。用sudo zerotier-cli peers查看对端状态是否正常，同时检查两端是否处于同一虚拟网络且 IP 段不冲突。最后一招是把两台设备的 ZeroTier 服务都重启一遍，很多临时性的网络故障这样就好了。

5.3 在 Linux 上找不到 frpc 程序怎么办

有人下载完 FRP 后不知道解压到哪了，也有人下载完就忘了放在哪个目录，过几天想改配置就找不到了。最简单的方法是直接用which frpc或whereis frpc查一下它是否在 PATH 里。如果没有任何输出，再尝试全盘搜索：

find / -name frpc -type f 2>/dev/null

这个命令会在整个文件系统里找名为 frpc 的文件，速度稍慢但一定能找到。如果你想养成好习惯，建议以后把 FRP 固定放在/opt/frp目录下，并把执行路径写进 service 文件里，就不会再出现“用户找不到了frp下载到linux的位置”这种抓瞎情况了。另外搜索的时候注意排除系统临时目录，很多情况下文件根本没丢，只是你解压到了/tmp下面，重启机器文件就被清理了。

5.4 端口冲突、域名被占用的处理

FRP 服务端启动失败时，如果日志里有address already in use，说明 remotePort 或 bindPort 被占用了，用lsof -i:7500或者ss -tlnp | grep 7500查看是谁占用的端口，换个端口重新映射即可。Ngrok 这类工具报端口占用则更直接，运行ngrok http 8091换一个本机端口就行，注意 ngrok 代理的端口一定是你本地服务真正监听的端口，不能随手填一个没跑服务的端口。花生壳添加映射时提示域名被占用，一般是随机分配的免费域名被用掉了，换一个端口或者换一个域名前缀也能解决。总而言之，遇到端口类问题先检查占用，再确认防火墙安全组，这两个地方覆盖了大部分故障场景。

6. 补充方案与个人选型体会

6.1 cpolar、樱花内网穿透这类托管隧道怎么选

除了上面四个主流方案，国内还有一批托管隧道服务经常被提到，cpolar 和樱花内网穿透就是代表。cpolar 在中文用户圈里口碑不错，它提供的浏览器控制台能方便地管理隧道状态，免费版可以拿来体验，付费后能固定域名、增加带宽。樱花内网穿透也因为上手简单、有免费隧道，成了很多人临时开服联机的选择。这两类服务的本质都是 Ngrok 官方那种托管中转，不要指望免费套餐能跑出多高的速度，也不要放敏感业务在上面。如果只是临时共享一个页面、联机玩一把游戏、给客户做个演示，它们是效率最高的选择；如果打算长期稳定跑一个服务，还是老老实实回到 FRP 或 ZeroTier 的轨道上。

6.2 最后聊聊我的长期使用建议

用了这么多年，我个人的组合方式是：长期在线、需要对外提供服务的机器，全部走 FRP，自己掌握服务器意味着带宽、安全、稳定性都可控。多台私人设备之间互访，用 ZeroTier，它让我在家里和公司两个局域网之间像在同一间办公室一样传文件。临时调试接口或给别人演示，用 Ngrok 或 cpolar，一分钟起一个隧道，用完就关，不留下任何常驻进程。帮完全不懂技术的朋友远程应急，我直接推荐花生壳，图形界面操作几下次就能搞定，我也不用隔着电话教他改配置文件。

这几种工具之间不是谁取代谁的关系，而是不同需求对应不同选择。做技术选型最忌讳听到一个方案就无脑上，先想清楚你要解决什么问题，再决定用什么工具，效率会高很多。最后提醒一句，不管选择了哪套方案，密码和 token 一定要设置高强度，暴露在公网上的端口一定要越少越好，安全这道防线，永远是自己把住的。

除了上面这些，你如果手里正好有几台设备需要长期互联，我强烈建议从 ZeroTier 开始体验，因为它给你的正反馈来得最快。装上客户端、点一个勾、ping 通，那种“原来内网穿透也可以这么简单”的感觉，比看十篇对比文章都管用。