内网穿透入门 没有公网 IP 也能从外面连回家里的电脑

人在外面，想连家里电脑上的文件、想打开公司内网的系统，常常根本连不上，原因多半是家里的设备没有公网 IP，外面的请求找不到门。内网穿透就是给这扇门装一个中转：一台有公网 IP 的服务器帮忙转发，内网设备主动连出去建隧道。本文讲清它的原理、两种工具路线和典型用途，最后一条安全红线比用法更重要。

先搞清为什么连不上。你家里的电脑、公司的内网服务器，绝大多数都躲在路由器后面，用的是内网地址，外界根本不知道它在哪。想从外面连进来，得先有一个公网 IP 当门牌号，可现在家用宽带很多不给公网 IP，公司网络更不会随便开门。请求发到你家路由器这一步就断了，不是设备坏了，是压根没有门。
内网穿透的解法是把方向反过来：既然外面的进不来，就让里面的主动连出去。具体做法是租一台带公网 IP 的云服务器当中转站，内网的机器主动和它建立一条长期保持的隧道；你在外面时，请求先到这台公网服务器，它顺着已经建好的隧道把请求送进内网，回应再原路返回。因为连接是内网主动发起的，路由器不用改任何设置，也不用向运营商申请公网 IP，这就是它能绕开那扇门的原因。
工具分两条路线。自建派最常用的是 frp，免费，它分两半：公网服务器上跑服务端 frps，内网机器上跑客户端 frpc，在配置里写清把公网的哪个端口转给内网哪台机器的哪个端口，隧道就通了，适合手里正好有台云服务器、愿意折腾一次的人。省事派是花生壳这类商业服务，装个客户端点几下就能用，不用自己维护服务器，代价是免费版限速度限流量，长期用要花钱。两条路线原理完全一样，区别只在中转站是你自己维护，还是花钱买现成的。
它能派上什么用场？出差时远程连回办公室的电脑拿文件；在外面打开家里的 NAS 看照片、取资料；把本地正在开发的网站临时生成一个公网地址，发给同事在线预览效果；人在外地，连回家中那台小主机看一眼服务跑得正不正常。凡是人在外面要摸内网里的东西，都是它的活，小团队和家庭用户用得最多。
最后这条安全红线比用法更重要，先听完再动手：隧道一通，等于把内网服务直接摆到了公网上，全世界的人都能扫到这个端口。所以只映射非开不可的端口，远程桌面、管理后台这类入口必须设强密码，能加登录限制的都加上；数据库端口坚决不要直接映射出去；临时用的隧道用完就关，不要图省事长期挂着。穿透解决的是进门的问题，但门锁够不够结实，得你自己把好关。