做安卓机友，有时候真的挺心累的。

尤其是想给自己的服务器、NAS 或者跑的脚本搞个“消息推送”的时候。

隔壁 iOS 用户有个神器叫 Bark，链接一填，消息秒到。

而我们呢？

❌ 接入微信/钉钉机器人？ 门槛越来越高，还得实名认证，时不时还给你限个流。
❌ 用邮件？ 实时性太差，等看到邮件，服务器可能都挂了半小时了。
❌ 依赖 FCM (谷歌推送)？ 在国内的网络环境下，这就意味着得常年挂着梯子，耗电不说，连接还时不时抽风。

我就想要一个简单、干净、实时的推送服务，怎么就这么难？

直到我遇见了它 —— Gotify。

用了一周，我只想说四个字：相见恨晚。

如果你也是喜欢折腾的“自托管（Self-hosted）”玩家，这款工具绝对能让你神清气爽。

今天就带大家看看，这个只有几 MB 的小工具，是怎么解决安卓推送老大难问题的。

01 🚀 为什么是 Gotify？(不仅仅是“安卓版 Bark”)

简单说，Gotify 就是一个完全属于你自己的消息推送服务器。

很多开源软件功能强大，但吃资源也厉害。Gotify 不一样，它是用 Go 语言写的，极其轻量。

它最大的优势就三个词：私有、实时、极简。

✅ 私有 没有广告，没有第三方窥探。你的数据，只在你的服务器和你的手机之间流动。
✅ 实时 基于 WebSocket 连接，服务器端一发，手机端毫秒级响应。
✅ 极简 没有复杂的依赖，不用配臃肿的数据库，默认 SQLite 就够了。

对于我们这种有“数据洁癖”的极客来说，这种完全掌控的感觉，真的太棒了。

02 🛠️ 一分钟部署 (甚至不需要写配置文件)

server端地址：https://github.com/gotify/server

既然主打轻量，部署自然不能复杂。

如果你会用 Docker，那简直是手到擒来。

在你的 NAS 或服务器上，创建一个 docker-compose.yml 文件，填入以下内容：

1
2
3
4
5
6
7
8
9
10
11
12

services:
    gotify:
        image: gotify/server
        container_name: gotify
        restart: unless-stopped
        ports:
            - 8080:80
        environment:
            - GOTIFY_DEFAULTUSER_PASS=custom_password # 记得改密码
            - TZ=Asia/Shanghai
        volumes:
            - './gotify_data:/app/data'

然后执行 docker compose up -d或者docker-compose up -d。

也可以使用我之前推荐的Dockge部署
打开Dockge面板 -> 创建堆栈 -> 设置堆栈名称 -> 粘贴compose代码 -> 30秒启动成功！

搞定！

打开浏览器访问 http://你的IP:8080，登录后台，你就拥有了一个私有的推送中心。如果无法打开前台，请检查防火墙相关配置。

用户名：admin
密码：compose里面设置的GOTIFY_DEFAULTUSER_PASS对应的值

在首页，点击 app，然后新建一个 APP，记好 token，这个是我们后续重要的凭证。

到这一步，gotify-server 的基础配置就已经完成了。

💡 温馨提示

NAS部署，如果你想在外网也能收到推送，根据我之前的内网穿透教程进行设置，这里不再赘述。服务器部署，推荐使用OpenResty Manager进行配置（推荐配置 SSL 证书，更安全）。

03 📱 手机端体验：省电到令人发指

服务端搭好了，手机端怎么收？

直接去Google play商店或者 GitHub 下载 Gotify 的安卓 APP。

GitHub地址：https://github.com/gotify/android/releases

我们将这个 apk 下载好，在要接收消息的 android 手机上安装即可。安装包仅仅 6.75MB

如果不能下载，可以通过网盘分享的文件：Gotify.apk
链接: https://pan.baidu.com/s/16Z3tLCDyu5Ys-kJJ5MsSlQ?pwd=hkve 提取码: hkve

安装好后启动 app，我们输入对应的 server 地址，以及用户名和密码，然后登录就行

到这一步，我们要接收消息的客户端也安装好了。

很多同学担心自建推送会耗电。

实测下来，Gotify 的 APP 非常克制。因为它保持的是一个单一的长连接（WebSocket），不需要频繁唤醒系统。

在电池优化里把它设为“无限制”，它就能安安静静地在后台待机，耗电量几乎可以忽略不计。

04 🔔 万物皆可推 (解锁三个硬核场景)

服务跑起来了，怎么用呢？

Gotify 的逻辑简单到令人发指。它不需要你会写复杂的代码，只要能发 HTTP 请求的地方，就能用它。

这里分享三个我最常用的场景：

场景一：NAS 下载任务通知 🎬 我是极空间用户，以前下载任务完成了不知道。现在写个简单的脚本，下载完自动发一条 Gotify 消息：

“老板，电影下好了，回家就能看。”

场景二：服务器状态报警 🚨 利用简单的 curl 命令，配合监控脚本。 CPU 占用超过 90%？磁盘空间不足？SSH 有人尝试暴力破解？ 手机直接弹窗震动，优先级设为 High（高），半夜都能把你叫醒处理故障。

场景三：库存与价格监控 📉 如果你有写爬虫监控显卡库存、机票价格的习惯，Gotify 是最好的通知渠道。因为它延迟极低，抢购的时候快人一步。

这是发消息的命令，简单吧？👇
1. Curl (命令行党)

1
2
3
4
5

# 替换你的 URL 和 Token
curl "https://push.example.com/message?token=<你的Token>" \
    -F "title=报警" \
    -F "message=服务器挂啦！" \
    -F "priority=5"

 Python (脚本党) 如果你在写监控脚本，用 requests 库最方便：

1
2

import requests #pip install requests
resp = requests.post('http://push.example.com/message?token=<apptoken>', json={ "message": "Well hello there.", "priority": 2, "title": "This is my title" })

 将对应的域名，token，以及想发送的标题，内容都替换成自己的即可。这里要注意的是 token 是 app 的 token，而不是 client 的 token 发送成功之后，app 内就会收到最新的消息，而且也会收到对应的消息 push。
 
服务端也会收到发送的消息
 

05 ✨ 进阶玩法：Markdown 与图片

虽然是后端工具，但 Gotify 的体验一点都不含糊。

最让我惊喜的是，它支持 Markdown 语法。

推过来的消息不仅可以是纯文本，还可以带粗体、斜体，甚至可以直接在通知里显示图片。
只需在发送请求时指定 extras 参数，告诉客户端“这是一段 Markdown”，就能搞定：
1. Curl (命令行党)

1
2
3
4
5
6
7
8
9
10
11
12

# 发送一张带 Markdown 格式图片的通知
curl -X POST "https://push.example.com/message?token=<你的Token>" \
  -H "Content-Type: application/json" \
  -d '{
    "message": "![门铃抓拍](https://example.com/snapshot.jpg)\n\n**⚠️ 有人按门铃**\n*请及时查看监控*",
    "priority": 8,
    "extras": {
      "client::display": {
        "contentType": "text/markdown"
      }
    }
  }'

Python (脚本党) 如果你在写监控脚本，用 requests 库最方便：

1
2
3
4
5
6
7
8
9
10
11
12
13

import requests

url = "https://push.example.com/message?token=<你的Token>"
payload = {
    "message": "![每日报表](https://example.com/chart.png)\n\n**📊 今日数据汇总**\nCPU负载: `35%`",
    "priority": 5,
    "extras": {
        "client::display": {
            "contentType": "text/markdown"
        }
    }
}
requests.post(url, json=payload)

想象一下，你家的安防摄像头检测到有人移动，直接截个图，通过 Gotify 推送到你手机通知栏上，不用点开 App 就能看到是谁在门口。

这就是顶级极客的体验。

写在最后

在这个大厂把持流量、APP 越来越臃肿的时代，Gotify 是一股清流。

它不通过微信，不通过谷歌，就在你自己的设备之间，搭起了一座桥。

即使断了外网，只要在同一个局域网下，它依然能工作。

如果你也受够了各种第三方推送的限制和不确定性，不妨花个十分钟，搭建一个属于自己的 Gotify。

那种“我的消息我做主”的自由，试过就回不去了。

你平时都在用什么方式接收服务器或脚本的通知？Server酱？Telegram？还是直接硬抗？评论区来交流一下避坑指南！

总结

好了，以上就是今天给大家分享的内容，我是爱分享的小明同学，如果今天的内容对你有帮助请记得收藏，顺便点点关注，咱们下期再见！谢谢大家~

OpenResty Manager 为 OpenResty 提供了现代化 Web 管理界面，可以通过可视化方式配置反向代理、证书、应用和站点。

项目地址：https://github.com/Safe3/openresty-manager

版本提示： 本文截图和命令来自 2025 年 9 月。管理界面、功能划分和版本权益可能变化，请以项目当前文档为准。远程安装脚本执行前应先查看内容。

一、OpenResty Manager 适合谁

• 不想手写复杂 Nginx 配置的个人站长；
• 需要快速配置 HTTPS 和反向代理的开发者；
• 希望统一管理多个 Web 服务的 NAS 或小型服务器用户；
• 没有专职运维团队的小型项目。

二、部署前准备

• 一台 Linux 云服务器或 NAS；
• 已安装 Docker 时可直接使用容器版；
• 云服务器安全组放行 80、443；
• 管理端口 34567 建议只对可信 IP 开放；
• 如需域名访问，提前把 DNS 指向服务器。

三、安装

主机版

1

sudo bash -c "$(curl -fsSL https://om.uusec.com/cn/installer.sh)"

容器版（推荐）

1

sudo bash -c "$(curl -fsSL https://om.uusec.com/cn/docker_installer.sh)"

安装完成后，可通过以下命令管理容器：

1

bash /opt/om/om.sh

如果系统没有 sudo：

1

apt update && apt install -y sudo

本文使用 Debian 12 演示。安装脚本在缺少 Docker 时会自动安装 Docker。

检查容器状态：

1

docker ps

四、登录管理后台

访问：

1

https://服务器IP:34567

默认用户名为 admin。默认密码请以首次登录页面或官方当前文档为准，不要继续使用公开示例密码。登录后立即修改密码。

安全提示： 34567 是管理入口，不建议直接对全网开放。优先使用防火墙白名单、VPN 或 Cloudflare Access 限制访问。

五、申请 SSL 证书

先把域名的 A 或 CNAME 记录指向 OpenResty Manager 所在服务器。

进入证书管理，选择申请 Let’s Encrypt 免费证书，或上传已有证书。

六、安装应用

进入应用商店，可以选择一键安装 WordPress 等应用。

七、配置上游和站点

添加上游

进入上游管理，为应用或服务添加后端地址，并可按需配置负载均衡。

新建站点

进入站点管理，点击“新建站点”，填写域名、证书和上游。

验证访问

保存后访问站点域名，确认页面和 HTTPS 正常。

八、高级功能

部分节点管理、节点分组和 Web 安全能力可能需要专业版。使用前先确认当前版本的授权范围和价格。

九、上线前的安全清单

1. 修改默认管理员密码；
2. 限制 34567 管理端口；
3. 只开放 80、443 等必要业务端口；
4. 定期备份证书、站点和容器数据；
5. 固定镜像版本，升级前查看版本说明；
6. 远程安装脚本先审查，再执行。

总结

OpenResty Manager 把证书、上游、站点和反向代理配置集中到可视化界面中，适合不想反复手写 Nginx 文件的用户。它降低了操作门槛，但管理端口、管理员密码和容器升级仍然需要认真维护。

它提供客户端和服务端节点，配置重点是选择设备、填写内网地址和设置外网访问入口，不需要手写隧道配置文件。

版本提示： 本文截图和界面来自 2025 年 9 月。节点小宝的客户端、套餐、免费额度和功能可能变化，请以官方当前说明为准。

一、适合哪些场景

• 在外访问家中电脑或 NAS；
• 临时给客户展示本地 Web 项目；
• 访问自建私有云盘和知识库；
• 远程管理部分智能设备；
• 不想配置路由器端口映射。

二、主要特点

• 注册账号、安装客户端、添加映射即可使用；
• 支持 Windows、Linux、macOS 等平台；
• 由服务商维护中转节点；
• 部分版本支持异地组网；
• 通常提供基础免费额度。

三、注册并安装客户端

从官方渠道注册账号并进入控制台。

根据设备类型下载客户端。

本文以极空间 NAS 演示。安装后打开节点小宝并登录绑定。

四、配置内网穿透

进入控制台配置映射：

• 中转设备：选择要作为访问入口的设备；
• 内网 IP 地址：填写中转设备能够访问的 IP:PORT；
• 外网域名：由节点小宝提供的公网访问入口；
• 备注名称：填写容易识别的服务名称；
• 访问密码：非可信来源访问时增加一层密码保护。

五、验证访问

保存后，在浏览器打开生成的外网域名。

如果页面能够正常打开，说明映射已经生效。

六、异地组网

节点小宝还提供异地组网能力，可用于让多个设备通过虚拟网络互相访问。具体步骤请以官方文档为准。

七、安全与使用建议

1. 账号使用强密码，并定期更换；
2. 只穿透确实需要公开的服务；
3. 为管理后台、NAS 和应用设置独立强密码；
4. 优先启用访问密码或额外身份验证；
5. 关注免费套餐的带宽、流量和连接数限制；
6. 不把数据库、SSH、远程桌面等高风险服务直接暴露给所有人。

总结

节点小宝适合不想维护 frp 服务端、希望快速完成配置的用户。它把中转节点和客户端管理交给平台，降低了部署成本。代价是依赖第三方服务，速度、免费额度和安全策略都需要按官方当前规则确认。

项目地址：https://github.com/EasyTier/EasyTier

版本提示： 本文截图和命令来自 2025 年 9 月。EasyTier 更新较快，请使用官方最新稳定版，并按当前文档调整参数。

一、异地组网适合什么场景

• 在外访问家里 NAS、摄像头或管理面板；
• 多地设备访问共享文件；
• 分支机构连接内部系统；
• 和朋友组建虚拟局域网玩联机游戏。

传统 VPN 方案通常需要公网 IP 和复杂路由配置。EasyTier 可以通过共享节点协调连接，并在条件允许时建立点对点通道。

二、EasyTier 的工作方式

可以把 EasyTier 理解成给每台设备分配一张“虚拟身份证”：

1. 所有节点连接到同一个网络；
2. 每个节点获得一个虚拟 IP；
3. 节点之间尽量建立点对点连接；
4. P2P 不通时，通过公共节点或自建节点中转；
5. 传输使用加密通信。

三、准备节点

至少准备两台设备。可以使用公共共享节点，也可以自建节点。

如果自建共享节点，请参考官方文档：

https://easytier.cn/guide/network/host-public-server.html

四、下载客户端

从 GitHub Releases 或官网下载最新版本：

• GitHub：https://github.com/EasyTier/EasyTier/releases
• 官网：https://easytier.cn/guide/download.html

本文示例包括 Windows GUI、极空间 NAS Docker 和手机客户端。

五、配置 Windows GUI

打开 EasyTier GUI，选择网络方式。如果使用自己的共享节点，点击“手动”。

填写相同的网络名称和网络密码，然后点击“运行网络”。

六、NAS 使用 Docker Compose

先创建数据目录：

打开 NAS 的 Docker/Compose 页面：

新增 Compose 项目：

示例配置：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

services:
  watchtower:
    image: containrrr/watchtower
    container_name: watchtower
    restart: unless-stopped
    environment:
      - TZ=Asia/Shanghai
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    command: --interval 3600 --cleanup --label-enable

  easytier:
    image: easytier/easytier:latest
    hostname: easytier
    container_name: easytier
    labels:
      com.centurylinklabs.watchtower.enable: 'true'
    restart: unless-stopped
    network_mode: host
    cap_add:
      - NET_ADMIN
      - NET_RAW
    environment:
      - TZ=Asia/Shanghai
    devices:
      - /dev/net/tun:/dev/net/tun
    volumes:
      - /your/path/easytier:/root
      - /etc/machine-id:/etc/machine-id:ro
    command: -d --network-name 你的网络名称 --network-secret 强密码 -p tcp://public.easytier.cn:11010

所有节点必须使用相同的网络名称和网络密码。不需要自动更新时，可以删除 watchtower 部分。

七、手机加入网络

安装 EasyTier APK，填写相同的网络名称和网络密码，然后运行网络。

八、查看虚拟 IP

回到 GUI 界面，可以看到各节点分配的虚拟 IPv4 地址。

也可以在设备上使用 ipconfig 或 ifconfig 查看 EasyTier 虚拟网卡。

九、验证连通性

在任一节点上 Ping 其他节点：

1
2
3

ping 10.126.126.1
ping 10.126.126.2
ping 10.126.126.3

如果能 Ping 通，说明虚拟局域网已经建立。

十、远程访问内网服务

通过“虚拟 IP + 服务端口”访问：

1

http://10.126.126.2:5700

例如访问 NAS 上的青龙面板：

访问其他 Docker 服务时，替换端口即可：

手机也可以通过虚拟 IP 访问 NAS 服务：

十一、安全建议

1. 网络密码使用长随机字符串；
2. 不同用途可以拆分多个网络；
3. 不需要自动更新时关闭 Watchtower，避免不可预期升级；
4. 自建节点要限制访问并保持更新；
5. 敏感服务仍需账号密码、访问控制或 VPN 策略。

更多内容见 EasyTier 官方文档。

总结

EasyTier 适合多设备互联和远程访问 NAS，配置比传统 VPN 更简单。部署完成后，优先检查虚拟 IP 连通性、网络密码强度和各节点服务本身的访问控制。

版本提示： 本文截图和界面来自 2025 年 8 月。ZeroNews 的套餐、域名格式、带宽和连接数限制可能变化，请以官网当前说明为准。

一、ZeroNews 的特点

• 客户端安装后配置域名、协议、内网地址和端口；
• 不需要公网 IP，也不需要修改路由器端口映射；
• 自动提供 HTTPS 域名；
• 支持 HTTP/HTTPS/TCP 等常见场景；
• 免费额度可满足轻量个人用途。

二、准备工作

1. 注册 ZeroNews 账号；
2. 记录授权码 Token；
3. 确认内网服务的 IP 和端口；
4. 在内网设备上安装 ZeroNews Agent。

官网：https://www.zeronews.cc/

三、安装 Agent

本文以极空间 NAS 演示。根据设备类型选择对应客户端或 Docker 方式安装。

官方文档见 https://docs.zeronews.cc/jkjnas。

安装成功后，ZeroNews 控制台应显示 Agent 已上线。

四、添加域名端口

进入“域名端口”，添加一个公网访问入口：

1. 自定义域名前缀；
2. 选择协议，例如 HTTPS；
3. 选择端口；
4. 确认创建。

五、配置映射

创建映射时需要填写：

• Agent：选择刚才上线的设备；
• 协议：例如 HTTPS；
• 域名：选择上一步创建的域名；
• 带宽：按套餐和需求填写；
• 内网地址：如果服务在 Agent 所在主机，可用 127.0.0.1；服务在其他主机时填写真实内网 IP；
• 端口：内网服务端口，例如 5700。

保存后，ZeroNews 会显示公网访问地址。

浏览器访问该地址即可打开内网服务。

六、常见用途

• 远程访问 NAS 管理页面；
• 临时演示本地开发服务；
• 访问家庭内网的 Web 应用；
• 映射远程桌面或 TCP 服务，但需要额外注意安全。

七、安全提醒

内网穿透会把服务暴露到公网，务必注意：

1. 被映射服务使用强密码和最新版本；
2. 非必要不暴露数据库、SSH、远程桌面；
3. 只映射需要的服务端口；
4. 关注免费版带宽、连接数和域名限制；
5. 敏感服务建议叠加访问控制或 VPN。

总结

ZeroNews 适合临时需求和个人轻量项目，配置比 frp 和 Cloudflare Tunnel 更简单。它省去了公网服务器和证书配置，但你需要在速度、免费额度和安全暴露之间做好取舍。

版本提示： 本文截图和界面来自 2025 年 8 月。Cloudflare Zero Trust 控制台入口和功能名称可能变化，请以当前控制台和官方文档为准。

一、适用场景

Cloudflare Tunnel 适合：

• 无公网 IP 的家庭宽带；
• 不想暴露路由器端口的场景；
• 需要域名和 HTTPS 的 NAS、管理面板或个人网站；
• 想利用 Cloudflare 安全防护的个人项目。

二、为什么它更安全

传统端口映射会把端口暴露给公网扫描。Cloudflare Tunnel 的思路相反：

1. 内网设备运行 cloudflared；
2. cloudflared 主动向 Cloudflare 建立加密出站连接；
3. 外网请求先进入 Cloudflare；
4. Cloudflare 通过已有隧道转发到内网服务；
5. 路由器无需开放入站端口。

这样能减少端口暴露，并额外获得 Cloudflare 的防护能力。

三、准备工作

• Cloudflare 账号；
• 已托管在 Cloudflare 的域名；
• 一台能访问外网的内网设备；
• 内网服务的 IP 和端口。

四、创建 Tunnel

进入 Cloudflare 控制台，找到 Zero Trust，然后进入网络相关页面。

选择 Tunnels：

点击添加隧道，选择 Cloudflared：

为 Tunnel 命名，例如 home-services：

五、安装 cloudflared

本文使用 Docker 部署。复制控制台给出的命令后，建议补充容器名、后台运行和重启策略：

1
2
3
4
5
6

docker run \
  --name cloudflared \
  -d \
  --restart unless-stopped \
  cloudflare/cloudflared:latest \
  tunnel --no-autoupdate run --token 你的隧道令牌

启动成功后，控制台会显示连接器已上线。

六、配置公共主机名

进入 Tunnel 的公共主机名配置页：

• Subdomain：填写子域名前缀；
• Domain：选择 Cloudflare 托管域名；
• Type：内网服务为 HTTP 时通常选择 HTTP；
• URL：填写内网服务地址和端口，例如 192.168.3.17:5700。

一个 Tunnel 可以添加多个公共主机名，分别转发到不同内网服务。

七、验证访问

在浏览器访问配置的域名：

1

https://nas.example.com

八、安全建议

1. 只把需要的服务加入 Tunnel；
2. 管理后台启用 Cloudflare Access、登录验证或 IP 白名单；
3. 不要用 Tunnel 暴露未升级、弱密码的服务；
4. 定期检查 Tunnel 连接器和公共主机名；
5. 隧道令牌不要提交到代码仓库。

总结

Cloudflare Tunnel 适合不想开端口、没有公网 IP 的用户。它把域名、HTTPS 和安全防护整合在一起，比传统端口映射更省心。代价是流量会经过 Cloudflare，且控制台和策略需要按官方最新文档维护。

项目地址：https://github.com/luckjiawei/frpc-desktop/releases

版本提示： 本文截图和版本来自 2025 年 8 月。请从 Release 页面下载当前最新稳定版，并保持客户端与 frps 版本不要相差过大。

一、为什么用 frpc-desktop

• 不需要手动编辑 frpc.toml；
• 代理配置可视化，修改和排错更直观；
• 支持多个代理同时管理；
• 可设置开机自启动；
• 支持常见 Windows、macOS、Linux 平台。

二、下载并启动

进入项目 Release 页面，根据系统选择安装版或便携版。Windows 常见包为 Frpc-Desktop-Setup-xxx.exe 或 Frpc-Desktop-xxx-win.zip。

安装或解压后启动，界面如下：

三、下载 frp

点击左侧菜单中的下载功能，选择 frp 版本。也可以导入已经下载好的 frp。

如果 frps 已经部署在云服务器上，尽量使用相近版本，避免配置兼容性问题。

四、配置服务器连接

点击左侧“齿轮”图标，选择 frp 版本，填写服务端信息：

• 服务器地址：云服务器公网 IP；
• 服务器端口：frps.toml 中的 bindPort，默认示例为 7000；
• 认证令牌：与 frps.toml 中 auth.token 保持一致；
• 其他选项保持默认。

保存配置。

五、添加代理

进入“代理”页面，点击“添加代理”。

以穿透内网 Web 服务为例：

六、启动并验证

回到主界面，点击“启动”。代理状态显示已启动后，即可访问。

浏览器访问：

1

http://云服务器公网IP:外网端口

其他常见玩法：

• TCP：远程桌面、SSH、NAS 管理页面；
• UDP：DNS、游戏联机等场景；
• 多代理：同时映射多个内网服务；
• 开机自启动：在设置中开启。

七、安全提醒

1. 不要把管理后台随意暴露到公网；
2. 为 NAS、数据库和远程桌面设置强密码；
3. 云服务器只放行需要的外网端口；
4. 客户端令牌不要写入公开仓库或截图；
5. 敏感服务建议再套一层 VPN 或访问控制。

总结

frpc-desktop 适合不想频繁编辑 TOML 文件的用户。它把 frp 客户端变成了图形化配置工具，日常新增、启停代理更方便。真正需要重视的仍然是令牌安全、端口收敛和被穿透服务本身的防护。

本文介绍免费开源的内网穿透工具 frp，用公网服务器中转流量，让内网服务获得“公网身份”。

项目地址：https://github.com/fatedier/frp

版本提示： 本文截图和配置来自 2025 年 8 月。frp 配置项会随版本调整，请使用官方最新稳定版，并以官方文档为准。

一、frp 的工作原理

frp 分为两部分：

• frps：服务端，部署在有公网 IP 的云服务器上，负责接收外网请求并转发流量。
• frpc：客户端，部署在内网设备上，主动连接 frps 并建立隧道。

外网请求先到达 frps，再通过隧道交给内网的 frpc，最后转发给本机或其他局域网服务。即使内网没有公网 IP，也可以通过这种方式对外提供服务。

二、准备事项

• 一台有公网 IP 的云服务器；
• 一台需要穿透的内网设备；
• 如需 HTTPS 和域名访问，准备一个域名。

三、部署 frps

1. 下载 frp

进入 frp Releases，根据系统选择压缩包：

• Linux 服务器：frp_xxx_linux_amd64.tar.gz
• Windows 设备：frp_xxx_windows_amd64.zip

2. 配置服务端

把 frps 和 frps.toml 上传到云服务器，示例配置：

1
2
3
4
5

bindPort = 7000
vhostHTTPSPort = 443

auth.method = "token"
auth.token = "请使用强随机字符串"

安全提示： 示例中的简单令牌只用于演示。生产环境请使用长随机令牌，并只放行必要端口。

临时启动：

1
2
3

cd /opt/frps
chmod +x frps
nohup ./frps -c ./frps.toml &

3. 使用 systemd 管理服务

创建 /etc/systemd/system/frps.service：

1
2
3
4
5
6
7
8
9
10
11
12
13

cat >/etc/systemd/system/frps.service<<EOF
[Unit]
Description = frp server
After = network.target syslog.target
Wants = network.target

[Service]
Type = simple
ExecStart = /opt/frps/frps -c /opt/frps/frps.toml

[Install]
WantedBy = multi-user.target
EOF

常用命令：

1
2
3
4

sudo systemctl start frps
sudo systemctl enable frps
sudo systemctl status frps
sudo systemctl restart frps

记得在云服务器的安全组或防火墙放行 7000、443 和实际使用的远程端口。

四、部署 frpc

把 frpc 和 frpc.toml 放到内网设备上。

1. HTTPS 服务示例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

serverAddr = "你的云服务器公网IP"
serverPort = 7000

auth.method = "token"
auth.token = "与服务端一致的令牌"

[[proxies]]
name = "web"
type = "https"
customDomains = ["home.example.com"]

[proxies.plugin]
type = "https2http"
localAddr = "127.0.0.1:7892"
crtPath = "./server.crt"
keyPath = "./server.key"
hostHeaderRewrite = "127.0.0.1"
requestHeaders.set.x-from-where = "frp"

域名需要解析到云服务器公网 IP。本文示例使用 Cloudflare 客户端证书：

如果使用 Cloudflare DNS，并且 frp 直接处理证书，先关闭该记录的 CDN 代理。

2. TCP 服务示例

例如把内网 3002 端口映射到公网 9000：

1
2
3
4
5
6
7
8
9
10
11
12

serverAddr = "你的云服务器公网IP"
serverPort = 7000

auth.method = "token"
auth.token = "与服务端一致的令牌"

[[proxies]]
name = "sunpanel"
type = "tcp"
localIP = "127.0.0.1"
localPort = 3002
remotePort = 9000

3. 启动客户端

1
2
3
4
5
6
7

chmod +x frpc

# Linux
nohup ./frpc -c ./frpc.toml &

# Windows
frpc.exe -c frpc.toml

也可以创建 /etc/systemd/system/frpc.service：

1
2
3
4
5
6
7
8
9
10
11
12
13

cat >/etc/systemd/system/frpc.service<<EOF
[Unit]
Description = frp client
After = network.target syslog.target
Wants = network.target

[Service]
Type = simple
ExecStart = /opt/frpc/frpc -c /opt/frpc/frpc.toml

[Install]
WantedBy = multi-user.target
EOF

五、验证访问

• HTTPS 代理：使用绑定的域名访问，例如 https://home.example.com；
• TCP 代理：使用 服务器公网IP:remotePort 访问。

六、安全建议

1. 使用强随机令牌，不要复用示例值；
2. 只放行必要的代理端口；
3. 为被穿透服务设置强密码和访问控制；
4. 定期更新 frp 和系统补丁；
5. 敏感服务优先加入 VPN、访问列表或 Cloudflare Access。

更多用法见 frp 中文文档。

总结

frp 是一个轻量、稳定的内网穿透方案，适合有公网服务器、希望完全自主控制的用户。部署的关键不是“跑起来”，而是令牌安全、端口收敛和被穿透服务本身的防护。