外网访问内网的几种方式

家里那台老NAS又罢工了。外网人在公司，访问方式想调个文件，内网只能干瞪眼。外网这大概是访问方式每个折腾过内网设备的人都吃过的亏——设备好好的，就是内网够不着。外网访问内网，外网说白了就三种路子：端口映射、访问方式VPN隧道、内网内网穿透。外网各有各的访问方式脾气，选错了能让你折腾一宿。内网

最直接的外网办法是端口映射。在路由器管理页面里，访问方式把内网某台机器的内网端口“推”到公网上去。比如NAS的5000端口，映射成你公网IP的15000端口，外网访问时输入你的公网IP:15000就能连上。听起来干净利落？但前提是你得有公网IP。很多宽带运营商给的是大内网地址，你看到的IP其实是运营商路由器分配的，压根儿不对外开放。就算有公网IP，动态IP也够烦人——今天这个地址，明天可能就换了，得配合DDNS（动态域名解析）才能稳定访问。还有安全风险，端口暴露在公网上，等于给扫描器留了个靶子，密码弱一点，分分钟被爆破。

想要更安全，就用VPN隧道。原理是你在外网设备上装个VPN客户端，拨号到家里的VPN服务器，建立一条加密通道，之后访问内网资源就像坐在家里沙发上一样。这种方式的好处是只暴露一个VPN端口，其他服务都藏在隧道后面，安全性高得多。但配置门槛不低，OpenVPN、WireGuard这些，光证书和密钥就能劝退一半小白。而且VPN服务器本身也得有公网入口，否则你连拨号的目标地址都没有——这又绕回了公网IP的问题。

要是没公网IP，就得靠内网穿透了。这玩意儿像是打了个“反向电话”——内网设备主动向外网的服务器发起连接，你在外网访问的是那台服务器的地址，由它把数据转发回来。典型的工具有frp、ngrok、花生壳。我自己的方案是跑一个frp服务在阿里云轻量服务器上，家里路由器上挂个frp客户端，把NAS的SSH和Web界面都映射出去。好处是彻底绕开运营商限制，不管你在多深的NAT后面都能用。坏处也明显：依赖第三方服务器，带宽受限于那台服务器的上行速度，免费版通常卡得让人想砸键盘。另外，所有流量都过中转，隐私上多少有点膈应。

三种方式我全试过。端口映射最早用，图省事，后来日志里看到一堆来自俄罗斯和巴西的扫描IP，吓得赶紧关了。VPN用过一阵WireGuard，配置好后确实稳，但手机端每次切换网络都要重连，烦。现在主力是frp，配合一个便宜的域名，基本能做到无感访问。代价是每个月几块钱的服务器费用，以及偶尔调试配置时盯着日志发呆的深夜。

说到底，没有完美的方案。端口映射适合临时开个服务、用完就关；VPN适合长期固定访问且对安全要求高的场景；内网穿透则是没公网IP时的无奈之选，也是灵活性最强的路子。选之前先问自己三个问题：有没有公网IP？访问频率多高？数据敏感度如何？答案清楚了，方案自然就出来了。别迷信什么“一键穿透”的傻瓜工具，免费的往往最贵——要么限速，要么限流量，要么把你的数据当商品卖了。