linux内网穿透软件

我折腾内网穿透这玩意儿快十年了。网穿最初是透软因为家里NAS上的电影在外地看不了，后来发现公司服务器调试也总卡在这一步。网穿Linux下的透软内网穿透软件，说白了就俩主流选择：FRP和WireGuard。网穿别急着问我哪个好，透软先看你需不需要图形界面——需要就FRP，网穿纯命令行就WireGuard，透软这个判断基本不会错。网穿

FRP的透软配置逻辑像搭积木。服务端跑在公网VPS上，网穿客户端装在你家里的透软Linux机器，两边各写一个toml文件。网穿我至今记得第一次把家里路由器的透软SSH端口映射到云服务器时的兴奋感——在咖啡馆用手机连回家里那台旧ThinkPad，敲下ssh -p 6000 user@vps_ip，网穿回车，熟悉的Ubuntu提示符弹出来，那种“穿透物理距离”的爽快感，比任何远程桌面软件都来得实在。FRP的坑主要在版本兼容，0.34和0.36的配置文件格式不一样，升级时务必先读官方changelog，别问我怎么知道的。

WireGuard则是另一种哲学。它不搞端口映射，而是把两台机器直接拉进同一个虚拟局域网。去年帮朋友调试他那台跑在树莓派上的Home Assistant，我让他装了WireGuard，配置好密钥，我的笔记本瞬间就多了一个10.0.0.2的虚拟IP。访问他的控制面板就像访问自己局域网设备一样，延迟不到20毫秒。但WireGuard的学习曲线陡峭，你得理解公钥私钥、AllowedIPs这些概念，而且它需要内核模块支持——老版本内核得自己编译，这点对新手不太友好。

实际使用中还有个容易忽略的细节：穿透后的带宽瓶颈不在软件，在你的公网VPS。我用过最便宜的阿里云轻量服务器，1Mbps带宽传大文件能急死人。后来换成按流量计费的香港节点，速度上去了，钱包也瘪了。如果你只是SSH连回去敲命令，FRP的TCP转发足够；要是想远程看高清视频，建议直接上带公网IP的IPv6，别绕穿透这弯子。

安全这块得单独提一嘴。内网穿透等于把家里的门开了一条缝，FRP自带token认证，但默认不加密流量。我习惯在FRP配置里加上TLS证书，或者干脆穿透后再套一层SSH隧道。WireGuard天生加密，这点省心不少。去年有个朋友裸奔FRP暴露了ssh端口，被脚本小子扫到暴力破解，日志里上千条failed password记录，后来改了端口加fail2ban才消停。

调试工具也别忽略。frps -c frps.toml跑起来后，用ss -tlnp | grep frp看端口监听状态，比看日志直观多了。WireGuard那边就敲wg show，能看到最新的握手时间——如果一直没更新，多半是UDP被运营商QoS了，换个端口或者改成TCP模式试试。这些命令我几乎每天都要敲一遍，肌肉记忆比文档还靠谱。

最后说个玄学经验：穿透延迟突然变高时，先检查是不是VPS所在机房晚高峰拥堵。有次我死活找不到原因，后来发现是那家小厂VPS超售严重，CPU steal时间飙到30%。换回大厂实例，问题瞬间消失。软件本身很少出幺蛾子，反而基础设施才是真正的瓶颈。