外网穿透内网

凌晨两点，外网我蹲在网吧的穿透角落，盯着屏幕上的内网MySQL报错。远程数据库连不上，外网客户催着要演示文档，穿透而我面前只有一台运行着Linux的内网破笔记本——它正被酒店Wi-Fi牢牢锁在内网里。那一刻我意识到，外网所谓“外网穿透”，穿透本质上就是内网给内网设备开一扇后门，让互联网上的外网流量能反向钻进来。

最常见的穿透办法是端口映射。你在路由器上把公网IP的内网某个端口，比如8080，外网指向内网那台机器的穿透22号端口。听起来简单，内网但现实很骨感——大部分家庭宽带没有公网IP，运营商把用户全塞在巨型NAT后面。你查到的IP是100.64.x.x，那是运营商私有的CGN段，路由器上改再多设置也白搭。

后来我改用反向隧道。在能访问公网的服务器上跑一个服务端，内网机器主动连出去，建立一条长连接。外网用户访问服务器时，流量顺着这条隧道钻进内网。这像什么？好比你家门锁着，但你在窗外挖了条地道，从邻居家院子绕进去。内网机器不需要公网IP，只要它能连外网就行——这条件几乎人人都满足。

我最常用的是frp，一个开源工具。配置文件写清楚服务器地址、端口映射关系，内网机器跑起来就完事。有次帮朋友调试他家的监控摄像头，他家宽带没有公网IP，我用frp把摄像头的RTSP流映射到一台海外VPS上，他在公司用手机就能看到客厅的猫在啃沙发。那台VPS一个月5美元，比换宽带套餐便宜多了。

但反向隧道有个致命弱点——依赖那台中转服务器。服务器一挂，隧道就断。我经历过一次，凌晨三点客户要紧急修复线上bug，我用的免费frp服务器恰好维护，整晚都在刷日志等恢复。那之后我学乖了，自己租了台最便宜的云主机，专跑frps，一个月十几块钱，稳定得让人忘记它存在。

还有人用ZeroTier这类虚拟局域网工具，原理是在每台设备上装虚拟网卡，通过P2P打洞直接互联。速度比中转快，延迟低，打洞成功率却看运营商脸色。对称NAT环境下经常失败，最后还是得靠服务器中转兜底。我试过在公司内网和家里电脑之间组网传文件，快的时候能跑满带宽，慢的时候像拨号上网，全看当时网络心情。

说到底，外网穿透内网没有银弹。端口映射适合有公网IP的极少数，反向隧道适应面最广但依赖中转，P2P方案体验最好却不稳定。我现在的做法是组合拳：关键服务走自建frp，临时访问用ZeroTier，再留一条SSH反向隧道当备用。

那天凌晨的bug最终修好了，靠的是我在酒店笔记本上临时起了个ngrok隧道，把本地调试端口暴露出去，客户点开我发的临时链接看了演示。隧道半小时后自动失效，正好够用。你看，工具不在多，能救急的就是好工具。下次再遇到内网穿透的需求，先别急着搜教程，想想你手头有什么——有没有一台能连外网的机器，有没有一个能开端口的路由器，甚至有没有一部能开热点的手机。办法总比困难多，前提是你愿意在凌晨两点的网吧里，把那些看似不可能的条件拼凑起来。