![img.jpg](https://www.loliapi.com/acg?num=10)
# Prometheus简介
Prometheus是由前Google工程师从2012年开始在Soundcloud以开源软件的形式进行研发的系统监控和告警工具包，自此以后，许多公司和组织都采用了Prometheus作为监控告警工具。Prometheus的基本原理是通过HTTP协议周期性抓取被监控组件的状态，这样做的好处是任意组件只要提供HTTP接口就可以接入监控系统，不需要任何SDK或者其他的集成过程。这样做非常适合虚拟化环境，比如 VM或者Docker等。

 



## Prometheus的优势
* 由指标名称和和键/值对标签标识的时间序列数据组成的多维数据模型。
* 强大的查询语言PromQL。
* 不依赖分布式存储；单个服务节点具有自治能力。
* 时间序列数据是服务端通过HTTP协议主动拉取获得的。
* 可以通过中间网关来推送时间序列数据。
* 可以通过静态配置文件或服务发现来获取监控目标。
* 支持多种类型的图表和仪表盘。

 

## Prometheus的组件
Prometheus生态系统由多个组件组成，其中有许多组件是可选的：
* Prometheus Server作为服务端，用来存储时间序列数据。
* 客户端库用来检测应用程序代码。
* 用于支持临时任务的推送网关。
* Exporter用来监控HAProxy，StatsD，Graphite等特殊的监控目标，并向Prometheus提供标准格式的监控样本数据。
* alartmanager用来处理告警。
* 各种支持工具。

其中大多数组件都是用Go编写的，因此很容易构建和部署为静态二进制文件。

 

## Prometheus的架构
Prometheus的整体架构以及生态系统组件如下图所示：
![w4te.png](https://blog.fldhhhhhh.top/static/img/3f0fad867b7b4f371a5b951fb8451486.w4te.PNG)
Prometheus Server直接从监控目标中或者间接通过推送网关来拉取监控指标，它在本地存储所有抓取到的样本数据，并对此数据执行一系列规则，以汇总和记录现有数据的新时间序列或生成告警。可以通过Grafana或者其他工具来实现监控数据的可视化。

 

# 运行Prometheus
Prometheus Server是Prometheus组件中的核心部分，负责实现对监控数据的获取，存储以及查询。

Prometheus的安装包可以在[Prometheus](https://github.com/prometheus/prometheus/)处下载，解压后可以使用systemd进行管理。
```bash
# /usr/lib/systemd/system/prometheus.service
[Unit]
Description=prometheus service
 
[Service]
User=root
ExecStart=prometheus安装目录/prometheus/prometheus --config.file=prometheus安装目录/prometheus/prometheus.yml --storage.tsdb.path=prometheus安装目录/prometheus/data
 
TimeoutStopSec=10
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
```

启动Prometheus Server
```bash
systemctl daemon-reload
systemctl enable prometheus --now

# 查看服务状态
systemctl status prometheus
```
可以通过`http://服务器IP:9090`访问Prometheus的管理界面，Graph界面可以用来查看监控数据，Status界面可以查看Prometheus Server的状态。

 

# 运行NodeExporter
Prometheus Server仅仅是负责数据处理的中间件，还需要依靠其他组件来收集数据。NodeExporter是Prometheus的一个组件，可以采集到主机信息，用来监控服务器的资源使用情况，包括CPU，内存，磁盘，网络等。

可以在[node_exporter](https://github.com/prometheus/node_exporter/)下载NodeExporter二进制包，并在需要的服务器上运行，使用systemd进行管理。

```bash
# /usr/lib/systemd/system/node_exporter.service
[Unit]
Description=NodeExporter
Wants=network-online.target
After=network-online.target

[Service]
User=root
ExecStart=node_exporter安装目录/node_exporter/node_exporter

[Install]
WantedBy=default.target
```

启动NodeExporter，可以通过`http://服务器IP:9100/metrics`查看NodeExporter的监控数据。
```bash
systemctl daemon-reload
systemctl enable node_exporter --now

# 查看服务状态
systemctl status node_exporter
```

现在Prometheus Server与NodeExporter已经正常运行了，但此时Prometheus还获取不到任何数据，需要在Prometheus Server的配置文件中添加相应的配，采集NodeExporter的数据，才能让获取到监控数据。
```bash
# prometheus安装目录/prometheus/prometheus.yml

scrape_configs:

 - job_name: "prometheus"
 static_configs:
 - targets: ["localhost:9090"]

 - job_name: 'node_exporter'
 static_configs:
 - targets: ['被监控服务器IP:9100']
 labels:
 instance: node_exporter
```
使用`systemctl reload prometheus.service`重启Prometheus Server，然后可以在Prometheus Server的Graph界面中查看到NodeExporter的监控数据，同时可以在Status选项下的Targets界面中查看到被监控的服务器状态。

 

# Grafana
Grafana是一个跨平台的开源的度量分析和可视化工具，主要用于查询并可视化展示采集的数据，它提供了丰富的可视化展示方式，包括快速灵活的客户端图表，拥有不同方式的可视化指标和日志的面板插件以及丰富的仪表盘插件，包括热图、折线图、图表等。

Grafana能够帮助用户快速的查看和编辑dashboard的前端。支持同时连接多种数据源，能够将时序时空数据库（TSDB）数据转换为漂亮的图表。

 

## 安装Grafana
Grafana的安装包可以在[Grafana](https://grafana.com/grafana/download)处下载，或者通过`apt-get`进行安装。
```bash
# 在sources list(/etc/apt/sources.list.d/grafana.list)中添加Grafana源
deb [signed-by=/usr/share/keyrings/grafana.key] https://apt.grafana.com stable main

# 启动Grafana Server
apt-get update
apt-get install grafana
systemctl daemon-reload
systemctl enable grafana-server --now
systemctl status grafana-server
```
安装完成后，可以通过`http://服务器IP:3000`访问Grafana的管理界面，使用默认的用户名和密码`admin/admin`进行登录。

 

## 添加Prometheus数据源
通过设置中的Data Sources，可以通过Add Data Sources添加数据源，选择Prometheus，并设置Prometheus的server url即可。
![grafana.png](https://blog.fldhhhhhh.top/static/img/722df2f42c4e437ac43fa0b7215e4c58.grafana.PNG)

 

## 添加Dashboard
在Grafana中有Dashboard和Panel的概念，Dashboard可以理解成看板，而Panel则可以理解成图表，一个看板中一般包含了很多个图表。Panel有着高度的自由度，可以自行选择图表类型，以及对图表进行样式的调整，也可以选择其他人提供的模板，在[Grafana Dashboard](https://grafana.com/grafana/dashboards)处可以下载模板并应用于看板中。
![dashboard.png](https://blog.fldhhhhhh.top/static/img/6cf68e16c5c93dbb143e656038017b5e.dashboard.PNG)

 

## 配置报警功能
要使用Grafana的报警功能，首先需要配置一种通知方式，可以在Grafana服务端的`conf/default.ini`文件中配置邮件服务器的地址，端口，用户名和密码等信息。配置完成后，可以在Grafana的Alerting界面中配置报警规则，当监控数据达到某个阈值时，会发送邮件通知。

 

# 其他服务器监控工具
Prometheus的设置稍显复杂，如果想要一键式简单安装，可以参考[nezha](https://github.com/naiba/nezha)或是[ServerStatus](https://github.com/cppla/ServerStatus)这类开源探针进行监控。

 

*利用Prometheus+Grafana搭建监控系统*

利用Prometheus+Grafana搭建监控系统

![img.jpg](https://www.loliapi.com/acg?num=9)
# Zerotier简介
ZeroTier是一款适用于智能可编程以太网交换机。它允许所有联网设备、虚拟机、容器和应用程序进行通信，就好像它们都驻留在同一个物理数据中心或云区域中一样。Zerotier采用`VLAN(虚拟局域网)`技术将不同设备连接到一个虚拟的局域网中，从而让这些设备随时随地都可以互相访问。



Zerotier是一个加密的虚拟主干网，允许多台机器像在一个网络上一样通信。Zerotier的核心方案是使用`UDP打洞`，无论两台设备是否在一个内网中，只要这两个局域网的NAT方式达到了打洞的要求，就可以进行打洞，建立一条通信隧道，使得不同设备之间可以互相访问。

使用Zerotier作为内网穿透工具，好处是个人用户使用基本免费，还可以创建多个局域网段。使用Zerotier十分简单，只要下载各个平台的客户端就行，包括iOS，常用的软路由与群晖也有可视化客户端。当然，直接使用免费版本的Zerotier，也存在不少缺点，在打洞失败的情况下，所有的流量都会通过Zerotier的公共服务器进行数据中转，使用海外服务器直连，延迟很高，基本上无法正常使用。自建Zerotier Moon可以解决中转服务器的问题，当然，在网络情况较好的情况下，是不需要自建Moon服务器的，因为每次打洞都会成功，Moon服务器不会被访问到。

 

# Zerotier使用
可以在[Zerotier](https://www.zerotier.com/)官网创建账号，并创建一个虚拟网络，保存好NetworkID，各个平台的客户端可以在[Zerotier Download](https://www.zerotier.com/download/)处下载，并通过NetworkID加入到虚拟网络中。（需要在Zerotier管理页面勾选auth加入设备）

* Windows：可以下载图形化客户端，输入NetworkID加入虚拟网络。
* Linux：通过`curl -s https://install.zerotier.com | sudo bash`脚本安装Zerotier，然后通过`zerotier-cli join <NetworkID>`加入虚拟网络。
* iOS/Android：可以通过应用商店下载Zerotier客户端，输入NetworkID加入虚拟网络。

相较于Tailscale，WireGuard，nps等内网穿透工具可以看到，Zerotier的使用非常简单，只需要下载客户端，输入NetworkID就可以加入到虚拟网络中，不需要进行任何配置，确实算是一款非常简单易用的内网穿透工具。

 

# Zerotier Moon搭建
Zerotier Moon是Zerotier的一个子项目，可以用来加速Zerotier的内网穿透，可以将Zerotier的中转服务器替换为自建的Moon服务器，从而提高Zerotier的内网穿透速度，让虚拟网络更稳定的运行。

## 准备工作
```bash
#安装Zerotier
curl -s https://install.zerotier.com | sudo bash

#加入虚拟网络
zerotier-cli join <NetworkID>
```

## 配置Moon服务器
进入Zerotier所在的目录，默认为`/var/lib/zerotier-one`。
```bash
#生成moon.json配置文件
zerotier-idtool initmoon identity.public >> moon.json

#修改moon.json文件中的stableEndpoints，替换为服务器的公网IP地址

#生成.moon文件
zerotier-idtool genmoon moon.json

#将生成的.moon文件移动到moons.d目录
mkdir moons.d
mv <xxx.moon> moons.d

#重启Zerotier服务
systemctl restart zerotier-one
```

## 配置Zerotier客户端
* Windows：打开任务管理器，通过`zerotier-cli.bat orbit <MoonID> <MoonID>`指定Moon服务器，其中MoonID为Moon服务器的ID，可以通过`zerotier-cli listmoons`查看。通过`zerotier-cli.bat listpeers`可以查看节点的状态。
* Linux：通过`zerotier-cli orbit <MoonID> <MoonID>`指定Moon服务器，通过`zerotier-cli listpeers`可以查看节点的状态。
* Android：通过下载[ZerotierFix](https://github.com/kaaass/ZerotierFix)的非官方自编译客户端，可以在设置中指定Moon服务器。
* iOS：别想了，还未支持自定义Moon服务器，看有没有大神愿意重写一个客户端。

 

*使用Zerotier Moon为内网穿透加速*

使用Zerotier Moon为内网穿透加速

![img.jpg](https://www.loliapi.com/acg?num=8)
# Tailsacle简介
Tailscale是一种基于`WireGuard`的虚拟组网工具，可以轻松管理对私有资源的访问，快速通过SSH连接到网络上的设备，并在任何地方安全地工作。Tailscale能够实现将多地主机，都聚合在一个虚拟的局域网中，让这些设备之间能够相互访问。



相较于`WireGuard`，Tailscale在其基础上提供了更加友好的用户体验，包括虚拟路由，虚拟子网等。可以通过Tailscale的网页管理界面，轻松地管理虚拟局域网中的设备，以及对设备的访问权限进行管理，使得整体功能更加易用完善。（WireGuard相关的内容可参考 [基于WireGuard实现内网穿透](https://blog.fldhhhhhh.top/post/7)）

 

# Tailsacle使用
可以在[Tailsacle](https://tailscale.com/)官网上注册账号，然后下载对应平台的客户端，安装后登录即可使用。不同平台的配置可以参考官网给出的文档。

Tailscale的个人用户在接入设备不超过20台的情况下可以免费使用（存在有一些限制，比如子网网段无法自定义，无法设置多个子网，只能配置一个虚拟路由）。对于大部份用户来说，Tailscale免费版已经足够日常使用了，相比于Zerotier，Tailscale更容易添加虚拟路由，任何一个节点就都可以被设置为路由，从而让所在内网被其他节点访问到。

 

# Headscale搭建
Tailscale的免费版可以满足大部分用户的需求，已经足够日常使用了，但是免费用户仍然存在一些限制，为了解除这些限制，有开源项目重新把Tailscale实现了一遍，项目名称叫Headscale。自建开源版Tailscale，也就是Headscale，好处是突破Tailscale免费版的限制，自定义子网网段，设置多个子网与命名空间等，而且无论是打洞还是使用服务器直接中转连接，都可以直接使用自建的服务器来进行，速度也会更快。

## 1.准备工作
可以在[Headscale](https://github.com/juanfont/headscale/)获取源码与说明
```bash
wget --output-document=/usr/local/bin/headscale headscale_release版本路径

#设置执行权限
chmod +x /usr/local/bin/headscale
```

创建配置
```bash
#创建配置目录
mkdir -p 指定目录/headscale

#创建数据库文件
touch 指定目录/headscale/db.sqlite

#创建配置文件：
wget https://github.com/juanfont/headscale/raw/main/config-example.yaml -O 指定目录/headscale/config.yaml
```
配置文件需要修改的内容：
* server_url: 替换为服务端ip地址加指定端口
* ip_prefixes: 替换为自定义的子网网段
* 指定路径相关的配置，如db_path，unix_socket，private_key_path等，需要替换为刚才创建配置的目录。

 

## 2.启动Headscale
创建headscale.service：`vim /etc/systemd/system/headscale.service`
```bash
[Unit]
Description=headscale
After=syslog.target
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/headscale serve
Restart=always
RestartSec=5

NoNewPrivileges=yes
PrivateTmp=yes
ProtectSystem=strict
ProtectHome=yes
ReadWritePaths=/var/lib/headscale /var/run/headscale
AmbientCapabilities=CAP_NET_BIND_SERVICE
RuntimeDirectory=headscale

[Install]
WantedBy=multi-user.target
```

启动Headscale并创建namespace
```bash
systemctl daemon-reload

#启动服务，设置开机自启：
systemctl enable --now headscale

#查看运行状态：
systemctl status headscale

#创建namespace：
headscale namespaces create default

#查看namespace
headscale namespaces list
```

 

## 3.客户端连接
![Headscale.png](https://blog.fldhhhhhh.top/static/img/7fd4542ec65043276369e9cd91eebe51.23514.PNG)
注意，Headscale并没有重新去实现Tailscale的客户端，所以仍然使用Tailscale的原生客户端修改配置后进行连接，理所应当，IOS端不支持，Android端需要重新编译过的客户端。

 

### Windows
打开`server_url/windows`，server_url替换成Headscale的配置，可以下载一个注册表修改工具，执行后安装Tailscale Windows客户端，登陆的时候就会去搭建Headscale的服务器进行认证，认证成功即可加入网络。

 

### Linux
下载Tailscale Linux客户端，并启动。
```bash
#启动服务，server_url替换成Headscale的配置，advertise-routes替换成内网网段（需要打开转发）
tailscale up --login-server=server_url --accept-routes=true --accept-dns=false --advertise-routes=192.168.1.0/24
```
执行完后，终端会出现一行网址，打开网址后，会出现一行指令，需要将指令复制到Headscale服务器执行
```bash
#需要将namespace替换为服务器创建的，uuid为网址上出现的uid
headscale -n namespace nodes register --key uuid

#查看加入的节点：
headscale nodes list

#允许网段
headscale routes enable -i 1 -r "192.168.1.0/24"
```

 

### Android
需要修改Android客户端的源码，提供指定服务器地址的功能，然后重新生成release版本安装。（嫌麻烦的话可以在网上找已经重新编译好的版本）

 

## 4.额外的功能
* Headscale-ui：可以在[Headscale-ui](https://github.com/gurucomputing/headscale-ui)处下载可视化界面，通过docker部署，可以通过浏览器可视化访问Headscale的管理界面。

* route：添加advertise-routes并打开转发，可以通过网关接入Headscale，使得局域网内的所有设备都可以通过Headscale访问到。

* exit-node：使用`tailscale up --advertise-exit-node`可以指定一个服务器为exit-node节点，使得流量通过该节点进行中转。

* derp：中转服务器，节点与节点进行连接时，会首先通过derp服务进行中转连接。

 

*搭建开源版Tailscale——Headscale*

搭建开源版Tailscale——Headscale

![img.jpg](https://www.loliapi.com/acg?num=7)
# WireGuard简介
WireGuard是一个易于配置，快速且安全的开源VPN协议，它利用了最新的加密技术。目的是提供一种更快，更简单，更精简的通用VPN，它可以轻松地在低端设备和高端服务器上部署。IPsec和OpenVPN等大多数其他解决方案是几十年前开发的。安全研究人员和内核开发人员Jason Donenfeld意识到它们速度慢且难以正确配置和管理。这让他创建了一个新的开源VPN协议和解决方案，它更加快速，安全，易于部署和管理。



WireGuard最初是为Linux开发的，但现在可用于Windows，macOS，BSD，iOS和Android，如今仍在活跃的开发中。除了可以跨平台之外，WireGuard的最大优点之一就是易于部署。配置和部署WireGuard就像配置和使用SSH一样容易。WireGuard的另一个好处是代码十分精简，调试更加容易。由于WireGuard运行在内核空间，因此可以高速提供安全的网络。

VPN的通用特性：
* 安全性：保证两个私有网络间的数据可以在不安全的网络（如公网）上安全地传输

* 真实性：访问者是合法的用户，访问者访问的是正确的网络

* 高效性：开启 VPN 并不会让访问网络明显变慢，且建立隧道的速度要快

* 隐秘性：第三方并不能轻易嗅探到网关的存在

* 易用性：很容易配置，很容易开启和关闭

WireGuard的优点：
* 简单易用：WireGuard可以像SSH一样易于配置和部署。VPN连接只需通过交换非常简单的公钥即可实现，就像交换SSH密钥一样，其余所有内容都由WireGuard透明地处理，无需管理连接，关注状态，管理守护程序或后台的内容。WireGuard提供了一个非常基本但功能强大的界面。

* 加密健全：WireGuard 使用先进的密码学和安全可信结构。它做出了保守合理的选择，并经过密码学家的审查。

* 最小攻击面：WireGuard在设计时考虑了易于实现和简单性。WireGuard代码十分精简，并且易于审计安全漏洞，与IPsec或OpenVPN等庞然大物相比，即使对于大型安全专家团队来说，审计庞大的代码也是一项艰巨的任务，WireGuard意味着可以由个人进行全面审查。

* 高性能：极高速的加密原语和WireGuard存在于Linux内核中的事实相结合，意味着安全网络可以非常高速。它适用于智能手机等小型嵌入式设备和满载骨干路由器。

 

# 通过WireGuard实现内网穿透
通过Wireguard可以将公网上的主机连接起来，形成一个局域网。只需要有一台具有固定公网IP的服务器，就可以将其作为我们搭建的局域网的中心节点，让其他的主机（不论是否有公网IP，不论是否在NAT内），都通过这个中心节点和彼此相连。由此就构建了一个中心辐射型的局域网，实现了内网穿透等功能。

 

## 直接安装
### 1.安装Wireguard
```bash
#安装Wireguard
apt install wireguard resolvconf -y

#开启IP地址转发
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
echo "net.ipv4.conf.all.proxy_arp = 1" >> /etc/sysctl.conf
sysctl -p
```
 

### 2.创建配置文件（/etc/wireguard/wg0.conf）
可以通过`wg genkey`和`wg pubkey`生成公钥和私钥
```json
[Interface]
Address = 10.0.1.1 #服务器局域网IP
PrivateKey = 私钥

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

ListenPort = 51820 # 自定义UDP端口
DNS = 223.5.5.5, 114.114.114.114
MTU = 1420

[Peer1]
PublicKey = 公钥
PresharedKey = 预共享密钥
AllowedIPs = 10.0.1.2/24 #客户端允许局域网IP

[Peer2]
PublicKey = 公钥
PresharedKey = 预共享密钥
AllowedIPs = 10.0.1.3/24
。。。
```
服务端防火墙需要打开51820端口允许UDP连接。

 

### 3.启动Wireguard
```bash
#启动Wireguard，wg0为配置文件名
wg-quick up wg0

#关闭Wireguard
wg-quick down wg0

#设置开机启动Wireguard
systemctl enable wg-quick@wg0
```
 

### 4.配置客户端
可以在[WireGuard](https://www.wireguard.com/install)处下载需要平台的客户端，每个客户端与WireGuard服务端连接需要单独配置预共享密钥与配置文件。
```json
[Interface]
PrivateKey = 私钥
Address = 10.0.1.2/24
DNS = 223.5.5.5, 114.114.114.114

[Peer]
PublicKey = 公钥
PresharedKey = 预共享密钥
AllowedIPs = 10.0.1.0/24 #客户端允许局域网IP
Endpoint = 服务器IP:端口
PersistentKeepalive = 25

```

 

## Docker安装
### 1.安装Docker
可以参考[Docker简介](https://blog.fldhhhhhh.top/post/2)安装。

 

### 2.通过容器启动WireGuard
```bash
docker run -d \
 --name=wg-easy \
 -e WG_HOST=服务器IP \
 -e PASSWORD=密码 \
 -e WG_DEFAULT_ADDRESS=服务器局域网IP \
 -e WG_DEFAULT_DNS=114.114.114.114 \
 -e WG_ALLOWED_IPS=客户端允许局域网IP \
 -e WG_PERSISTENT_KEEPALIVE=25 \
 -v ~/.wg-easy:/etc/wireguard \
 -p 51820:51820/udp \
 -p 51821:51821/tcp \
 --cap-add=NET_ADMIN \
 --cap-add=SYS_MODULE \
 --sysctl="net.ipv4.conf.all.src_valid_mark=1" \
 --sysctl="net.ipv4.ip_forward=1" \
 --restart unless-stopped \
 weejewel/wg-easy
```
服务端防火墙需要打开51820端口允许UDP连接，打开51821端口允许TCP连接。

 

### 3.配置客户端
打开`http://服务端IP:51821`，通过密码登录可以访问可视化WireGuard配置界面，客户端的配置进行和配置文件下载可以在网页上进行。可以在[WireGuard](https://www.wireguard.com/install)处下载需要平台的客户端，配置可以参考上面直接安装的配置方式。

（p.s.使用docker配置较为简单，且有可视化界面，但是由于镜像制作的问题，`wg-easy`不太方便修改配置文件，可玩性会降低不少（如无法自定义客户端允许的IP段与NAT转发等），推荐除小白外的童鞋都使用直接安装的方式，否则会出现一些不符合预期的问题。。。）

 

### 4.将各个客户端加入后，可通过局域网IP相互访问

 

*基于WireGuard实现内网穿透*

基于WireGuard实现内网穿透

![img.jpg](https://www.loliapi.com/acg?num=6)
# 内网穿透简介
内网，就是在公司或者家庭内部，建立的局域网络或者是办公网络，可以实现多台电脑之间的资源共享，包括设备、资料、数据等。而外网则是通过一个网关与其它的网络系统连接，相对于内网而言，这种网络系统称之为外部网络，常见的就是我们日常使用的互联网。

一般而言，在没有固定公网IP的情况下，外网设备无法直接访问内网设备。而内网穿透技术，顾名思义就是能让外网的设备找到处于内网的设备，从而实现数据通信。

 



# 内网穿透原理
内网穿透，又称为NAT穿透。NAT背后的设备，它们的主要特点是 ，可以访问外网，但不能被外网设备有效访问。基于这一特点，NAT穿透技术是让NAT背后的设备，先访问指定的外网服务器，由指定的外网服务器搭建桥梁，打通内、外网设备的访问通道，实现外网设备访问到内网设备。

该技术除了可以访问隐藏在NAT后的设备，同样可以穿透防火墙。这是因为防火墙一般只拦截了入站没有拦截出站，所以也可以让防火墙内的设备对外提供服务。

由于内网设备并不是与外网设备直接相连，所以在安全性上是毋庸置疑的，内网穿透可以说是安全与效率兼得。
![202202211836283405.png](https://blog.fldhhhhhh.top/static/img/6719603e57cc77875859c411c7ba70bf.202202211836283405.png)
（借用花生壳官网的示意图，其中花生壳的客户端和服务器可替换为任意其他的方案）

对于在NAT之后的内网客户端来说，可以主动访问公网端口，但是不能反过来被公网访问。所以可以在中间架设一个公网中转服务器，让内网客户端持续主动访问这个拥有公网IP地址的服务器，这样内网设备就成功与服务器建立了一个连接通道。然后当有任何其他NAT后的内网客户端主动连接服务器时，服务器马上把这连接请求通过先前建立好的隧道转发到刚才的内网客户端，内网客户端将响应数据包再原路转发回去，最终到达服务器，然后返回给其他内网客户端。

在内网穿透传输大量数据时如果都经过服务器中转的话，这样会对服务器端带宽压力比较大。如果数据量很大，可以考虑使用P2P技术。最为常见的实现P2P的方式是采用打洞技术（UDP/TCP），打洞技术是通过中间服务器的协助在各自的NAT网关上建立相关的表项，使P2P连接的双方发送的报文能够直接穿透对方的NAT网关，从而实现P2P客户端互连。但是这种方式受复杂网络环境影响较大，网速波动大，稳定性欠缺。

 

# 内网穿透方式
## DDNS
* 花生壳：国内知名内网穿透服务商，无需公网IP、自带端口映射，安装使用门槛低，能轻松穿透各种复杂的路由器和防火墙，让外网设备通过域名快速访问到内网应用。

* natapp：基于`ngrok`的国内高速内网穿透专业服务商，有免费版本。免费版本：提供http,tcp,udp全隧道穿透，随机域名/随机TCP,UDP端口，不定时强制更换域名/端口，自定义本地端口。

* DDNSTO：由KoolCenter(opens new window)@小宝开发，是一款稳定、快速、简单易用的内网穿透工具。让用户在公司、旅行途中都能够使用浏览器方便的访问家庭内的网络设备。无需公网IP，不被网络环境限制，全部的安装、配置、使用都可在浏览器完成，不需要敲一行代码。

 

## 自建
* frp：frp是一个专注于内网穿透的高性能的反向代理应用，支持`TCP、UDP、HTTP、HTTPS`等多种协议。可以将内网服务以安全、便捷的方式通过具有公网IP节点的中转暴露到公网。主要由`客户端(frpc)`和`服务端(frps)`组成，服务端通常部署在具有公网IP的机器上，客户端通常部署在需要穿透的内网服务所在的机器上。内网服务由于没有公网IP，不能被非局域网内的其他用户访问。用户通过访问`服务端的frps`，由`frp`负责根据请求的端口或其他信息将请求路由到对应的内网机器，从而实现通信。

* ngrok：ngrok是一个用go语言编写的反向代理，通过在公共的端点和本地运行的web服务器之间建立一个安全的通道。ngrok可捕获和分析所有通道上的流量，便于后期分析和重放。数据转发需要`ngrok客户端`和`ngrok服务端`建立链路通道，需要一个具有公网IP的服务器部署服务端。

* nps：nps是一款轻量级、高性能、功能强大的内网穿透代理服务器。目前支持`tcp、udp流量转发`，可支持任何`tcp、udp`上层协议（访问内网网站、本地支付接口调试、ssh访问、远程桌面，内网dns解析等等），此外还`支持内网http代理、内网socks5代理、p2p`等，并带有功能强大的web管理端。需要具有公网IP的服务器部署nps服务端，客户端通过注册导服务端实现内网穿透。

 

## 付费&自建
* VPN（虚拟专用网络）：VPN会通过互联网在设备之间建立私有的网络连接。VPN用于通过公有网络安全且匿名地传输数据。它们的原理是通过掩蔽用户IP地址并加密数据，使未获得接收信息授权的人无法读取。VPN的数据通信全程加密，保护了用户的隐私，匿名和安全性。VPN的一般技术方案包括`OpenVPN，IPSec，SSTP，WireGuard`等。当然，在国内，VPN目前还有另一个主要用途。。。。。。（p.s. 注意某些热心大佬自研类协议并不能算VPN，但是可以通过改造（虚拟网卡）的方式全局接管流量。。。）对于VPN而言，无论选择自建或是购买VPN供应商的服务，可选择性都很强。

* Zerotier：Zerotier是一个加密的虚拟主干网，允许多台机器像在一个网络上一样通信。Zerotier的核心方案是使用`UDP打洞`，无论两台设备是否在一个内网中，只要这两个局域网的NAT方式达到了打洞的要求，就可以进行打洞，建立一条通信隧道。Zerotier官方提供的中转服务器在国外，在网络较好的情况下，可以直接打洞连接成功，在打洞失败的情况下，所有的流量都会通过Zerotier的公共服务进行数据中转，国内连接延迟较高，需要建立`moon`中转服务器，`moon`服务提供的功能相当于`frp`。

* Tailscale：Tailscale是一种基于`WireGuard`的虚拟组网工具，可以轻松管理对私有资源的访问，快速通过SSH连接到网络上的设备，并在任何地方安全地工作。，可以将Tailscale看成是更为易用，功能更完善的`WireGuard`。Tailscale的个人用户在接入设备不超过20台的情况下可以免费使用（存在有一些限制，比如子网网段无法自定义，无法设置多个子网，只能配置一个虚拟路由）。对于大部份用户来说，Tailscale免费版已经足够日常使用了，相比于Zerotier，Tailscale更容易添加虚拟路由，任何一个节点就都可以被设置为路由，从而让所在内网被其他节点访问到。

 

# 内网穿透实现
## DDNS
花了money，没有搞不定的事，使用成熟的商业化内网穿透方案，配置，对小白和不想折腾的人非常友好，专业的技术文档和商家的技术支持已经足够弄好整套方案了。

 

## 自建
目前最广泛使用的自建内网穿透方案是frp，网上各种教程很多，这里就不再赘述。

nps相较于frp较新，操作简单，只需简单的配置即可在web ui上完成其余操作，展示信息全面，流量、系统信息、即时带宽、客户端版本等，部署起来相对比较简单，具体看一参考[ehang-io/nps](https://github.com/ehang-io/nps)

 

## Other
有了上面的方式为什么还有走到这条，可能有几点原因：
1. 不想花钱在这个可能大部分时间不需要使用的服务上。建议直接使用Zerotier和Tailscale的个人免费版，虽然传输速度没有保证，但是仅轻量使用问题不大。
2. 不想花费精力在整个方案的维护上。直接选择商用的方案即可，国内大部分用户会选择花生壳，不想花钱请参考1。
3. iOS系统的主力用户，需要使用IOS设备进行内网穿透。上面的方案对你来说基本上帮助不大，你的选择基本局限在接下来的几种方案中。

除此以外，一个常见的使用场景是使用移动设备远程访问家中的智能设备和服务，在使用移动网络的情况下，打洞很难成功，此时的连接方式就是服务器通道，需要使用服务器的带宽和流量。无论是DDNS供应商亦或是自建，带宽均存在限制，在高峰期（如晚上），使用体验也会比较差，所以需要自行体验，权衡适合自己的方案。

 

### Zerotier：[使用Zerotier Moon为内网穿透加速](https://blog.fldhhhhhh.top/post/9)
使用Zerotier作为内网穿透工具，好处是个人用户使用基本免费，还可以创建多个局域网段。使用Zerotier十分简单，只要下载各个平台的客户端就行，iOS系统，常用的软路由系统与群晖也有可视化客户端，基本零压力实现。当然，直接使用免费版本的Zerotier，也存在不少缺点，打洞成功，速度也称不上快，如果打洞失败，使用海外服务器直连，那么基本上无法正常使用。自建Zerotier Moon可以解决中转服务器的问题（甚至可以自建Zerotier Planet拥有可视化界面），但是也无法解决连接建立时需要使用海外服务器的问题。

 

### Tailscale：[搭建开源版Tailscale——Headscale](https://blog.fldhhhhhh.top/post/8)
Tailscale常常被用来与Zerotier比较，他是基于WireGuard为底层实现的一个内网穿透工具，在WireGuard的基础上实现了更加丰富的功能，比如虚拟路由，虚拟子网等。Tailscale的免费版可以满足大部分用户的需求，已经足够日常使用了，实际的使用体验上Tailscale可能比Zerotier更加稳定。自建开源版Tailscale——Headscale的好处是突破Tailscale免费版的限制，自定义子网网段，设置多个子网与命名空间等，而且无论是打洞还是使用服务器直接中转连接，都可以直接使用自建的服务器来进行，速度也会更快。

 

### VPN（WireGuard）：[基于WireGuard实现内网穿透](https://blog.fldhhhhhh.top/post/7)
既然可以自建Tailscale与Zerotier，为什么需要使用更为原始的方案WireGuard呢。其实普通个人用户基本上是不需要商用软件那么多复杂的功能的，只需要一个轻量级的工具就可以了。WireGuard的另一个优势是提供了ios和安卓客户端，注意，自建Tailscale与Zerotier都不能在ios上使用，原因不用多说，重新实现一个闭源的ios客户端太复杂，而在安卓设备上也需要自行编译安装客户端，相对来说比较复杂，而WireGuard的客户端则是开源的，可以直接在各个应用商店下载安装。通过自建节点使用WireGuard，也可以自行附加需要的功能，可玩性很高。

 

*内网穿透*