1. 为什么选择自建内网穿透方案

在嵌入式Linux设备开发过程中，远程调试和系统维护是刚需。商业工具如cpolar和花生壳虽然开箱即用，但存在三个致命缺陷：免费版限制设备数量（通常仅1-2台）、专业版价格昂贵（单设备年费可达数百元）、功能扩展受限。而frp作为开源内网穿透工具，具有以下不可替代的优势：

• 成本效益：阿里云99元/年的轻量应用服务器即可支撑数十台设备穿透
• 灵活可控：每个设备可分配独立端口，支持TCP/UDP全协议穿透
• 性能优异：实测单核1GB内存服务器可稳定承载50+并发SSH连接
• 安全可靠：支持Token认证和TLS加密，避免商业工具的数据中转风险

我曾为某智能家居企业部署过200+设备的frp穿透方案，相比商业方案每年节省近10万元成本。下面将完整分享从零搭建到生产级部署的全流程。

2. 服务端部署实战

2.1 服务器选型与初始化

推荐使用CentOS 7.9或Ubuntu 20.04 LTS系统，配置建议：

• 入门级：1核1GB（阿里云t6实例，年费99元）
• 生产级：2核4GB（突发性能实例，年费约500元）

关键初始化步骤：

# 更新系统 sudo yum update -y # CentOS sudo apt update && sudo apt upgrade -y # Ubuntu # 安装基础工具 sudo yum install -y vim wget tar # CentOS sudo apt install -y vim wget tar # Ubuntu # 关闭SELinux（生产环境建议配置规则而非关闭） sudo setenforce 0 sudo sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config

2.2 frp服务端安装配置

版本选择策略

• 稳定版：v0.52.3（2023年发布，经过长期验证）
• 尝鲜版：GitHub Releases页面的最新版本

# 下载解压（以0.52.3为例） wget https://github.com/fatedier/frp/releases/download/v0.52.3/frp_0.52.3_linux_amd64.tar.gz tar -zxvf frp_0.52.3_linux_amd64.tar.gz cd frp_0.52.3_linux_amd64 # 安全加固：删除客户端文件 rm -f frpc frpc.ini

生产级配置模板

frps.ini关键参数解析：

[common] bind_port = 7000 # 通信主端口 kcp_bind_port = 7000 # 启用KCP加速（高延迟网络建议开启） dashboard_port = 7500 # 监控面板端口 dashboard_user = admin # 面板用户名 dashboard_pwd = Str0ngP@ss! # 密码需包含大小写数字特殊字符 token = 8mGx2#pL9vY # 建议16位随机字符串 # 高级安全配置 tls_only = true # 强制TLS加密 allow_ports = 20000-30000 # 开放给客户端的端口范围 # 日志与运维 log_file = /var/log/frps.log log_level = info log_max_days = 7 max_pool_count = 100 # 最大连接池大小

关键安全提示：token相当于通信密码，必须使用高强度随机字符串，避免使用生日、简单数字等弱密码

2.3 系统服务化部署

服务文件配置

创建/etc/systemd/system/frps.service：

[Unit] Description=Frp Server Service After=network.target [Service] Type=simple User=nobody # 使用低权限用户 Restart=on-failure RestartSec=30s ExecStart=/usr/local/bin/frps -c /etc/frp/frps.ini LimitNOFILE=65535 # 调高文件描述符限制 [Install] WantedBy=multi-user.target

部署命令序列

# 创建配置目录 sudo mkdir /etc/frp sudo cp frps frps.ini /etc/frp/ # 设置二进制文件权限 sudo chmod 755 /usr/local/bin/frps sudo chown -R nobody:nobody /etc/frp # 重载并启动服务 sudo systemctl daemon-reload sudo systemctl enable frps sudo systemctl start frps # 验证状态 systemctl status frps -l

2.4 防火墙与安全组配置

云平台安全组规则

必须放行的入方向规则：

系统防火墙配置

# CentOS 7 sudo firewall-cmd --permanent --add-port=7000/tcp sudo firewall-cmd --permanent --add-port=7500/tcp sudo firewall-cmd --permanent --add-port=20000-30000/tcp sudo firewall-cmd --permanent --add-port=20000-30000/udp sudo firewall-cmd --reload # Ubuntu sudo ufw allow 7000/tcp sudo ufw allow 7500/tcp sudo ufw allow 20000:30000/tcp sudo ufw allow 20000:30000/udp

3. 客户端部署详解

3.1 嵌入式Linux设备配置

ARM架构设备特殊处理

树莓派等ARM设备需下载对应版本：

wget https://github.com/fatedier/frp/releases/download/v0.52.3/frp_0.52.3_linux_arm.tar.gz tar -zxvf frp_0.52.3_linux_arm.tar.gz

最小化客户端配置

frpc.ini基础模板：

[common] server_addr = 123.123.123.123 # 服务器公网IP server_port = 7000 token = 8mGx2#pL9vY # 与服务端一致 tls_enable = true # 启用加密 [ssh] type = tcp local_ip = 127.0.0.1 local_port = 22 remote_port = 20022 # 分配唯一端口 use_compression = true # 启用压缩（低带宽环境有效）

开机自启方案

创建/etc/systemd/system/frpc.service：

[Unit] Description=Frp Client Service After=network.target [Service] Type=simple Restart=always RestartSec=30s ExecStart=/usr/local/bin/frpc -c /etc/frp/frpc.ini [Install] WantedBy=multi-user.target

3.2 Windows客户端配置

批处理启动脚本

创建frpc_start.bat：

@echo off :start frpc.exe -c frpc.ini timeout /t 5 goto start

后台服务化（需NSSM工具）

nssm install frpc "C:\path\to\frpc.exe" "-c C:\path\to\frpc.ini" nssm start frpc

3.3 多设备管理策略

端口分配方案

建议采用设备编号映射：

• 设备001：20022 → SSH
• 设备002：20023 → SSH
• Web服务：20880开始

配置版本控制

推荐使用Git管理配置文件：

git init git add frpc.ini git commit -m "Add device No.001 config"

4. 高级应用与故障排查

4.1 性能优化技巧

网络加速方案

1. KCP协议加速：

   [common] protocol = kcp kcp_mtu = 1400

2. 多路复用调优：

   [common] tcp_mux = true pool_count = 10

资源限制配置

[common] heartbeat_timeout = 90 max_ports_per_client = 50 # 单客户端最大端口数

4.2 常见故障排查表

4.3 生产环境监控方案

Prometheus监控集成

1. 启用frps的metrics接口：

   [common] enable_prometheus = true prometheus_port = 7400

2. Grafana仪表盘配置示例：

   • 关键指标：连接数、流量统计、端口使用率
   • 告警规则：连接中断、异常流量波动

日志分析技巧

# 实时监控错误日志 tail -f /var/log/frps.log | grep -E "error|fail" # 统计客户端连接频次 grep "new proxy" /var/log/frps.log | awk '{print $8}' | sort | uniq -c

5. 安全加固指南

5.1 网络层防护

• 端口敲门：仅开放7000端口，业务端口通过iptables动态开放
• IP白名单：限制可连接frps的客户端IP段

  iptables -A INPUT -p tcp --dport 7000 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 7000 -j DROP

5.2 应用层防护

• 双因素认证：结合frp的token和SSH的证书认证
• 端口隐藏：使用非常用端口如54321代替7000
• 定期轮换：每月更新token和访问密码

5.3 审计与备份

• 操作审计：记录所有frpc连接事件

  [common] detailed_errors_to_client = false # 避免泄露敏感信息

• 配置备份：每日自动备份frps.ini到对象存储

  tar -czf /backup/frp_$(date +%F).tar.gz /etc/frp/

经过三年生产环境验证，这套方案在智能家居、工业物联网等场景支撑了500+设备的稳定穿透。关键要诀是：严格的安全策略、规范的端口管理、完善的监控体系。当设备规模超过50台时，建议考虑使用frp的API功能开发自动化管理平台。