Frp内网端口映射教程
2019独角兽企业重金招聘Python工程师标准>>>
frp 的作用
- 利用处于内网或防火墙后的机器,对外网环境提供 http 或 https 服务。
- 对于 http, https 服务支持基于域名的虚拟主机,支持自定义域名绑定,使多个域名可以共用一个80端口。
- 利用处于内网或防火墙后的机器,对外网环境提供 tcp 和 udp 服务,例如在家里通过 ssh 访问处于公司内网环境内的主机。
根据对应的操作系统及架构,从 Release 页面下载最新版本的程序。
将 frps 及 frps.ini 放到具有公网 IP 的机器上。
将 frpc 及 frpc.ini 放到处于内网环境的机器上。
通过 ssh 访问公司内网机器
- 修改 frps.ini 文件,这里使用了最简化的配置:
# frps.ini [common] bind_port = 7000
- 启动 frps:
./frps -c ./frps.ini
- 修改 frpc.ini 文件,假设 frps 所在服务器的公网 IP 为 x.x.x.x;
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[ssh] type = tcp local_ip = 127.0.0.1 local_port = 22 remote_port = 6000
- 启动 frpc:
./frpc -c ./frpc.ini
- 通过 ssh 访问内网机器,假设用户名为 test:
ssh -oPort=6000 test@x.x.x.x
通过自定义域名访问部署于内网的 web 服务
有时想要让其他人通过域名访问或者测试我们在本地搭建的 web 服务,但是由于本地机器没有公网 IP,无法将域名解析到本地的机器,通过 frp 就可以实现这一功能,以下示例为 http 服务,https 服务配置方法相同, vhost_http_port 替换为 vhost_https_port, type 设置为 https 即可。
- 修改 frps.ini 文件,设置 http 访问端口为 8080:
# frps.ini [common] bind_port = 7000 vhost_http_port = 8080
- 启动 frps;
./frps -c ./frps.ini
- 修改 frpc.ini 文件,假设 frps 所在的服务器的 IP 为 x.x.x.x,local_port 为本地机器上 web 服务对应的端口, 绑定自定义域名
www.yourdomain.com
:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[web] type = http local_port = 80 custom_domains = www.yourdomain.com
- 启动 frpc:
./frpc -c ./frpc.ini
将
www.yourdomain.com
的域名 A 记录解析到 IPx.x.x.x
,如果服务器已经有对应的域名,也可以将 CNAME 记录解析到服务器原先的域名。通过浏览器访问
http://www.yourdomain.com:8080
即可访问到处于内网机器上的 web 服务。
转发 DNS 查询请求
DNS 查询请求通常使用 UDP 协议,frp 支持对内网 UDP 服务的穿透,配置方式和 TCP 基本一致。
- 修改 frps.ini 文件:
# frps.ini [common] bind_port = 7000
- 启动 frps:
./frps -c ./frps.ini
- 修改 frpc.ini 文件,设置 frps 所在服务器的 IP 为 x.x.x.x,转发到 Google 的 DNS 查询服务器
8.8.8.8
的 udp 53 端口:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[dns] type = udp local_ip = 8.8.8.8 local_port = 53 remote_port = 6000
- 启动 frpc:
./frpc -c ./frpc.ini
- 通过 dig 测试 UDP 包转发是否成功,预期会返回
www.google.com
域名的解析结果:
dig @x.x.x.x -p 6000 www.google.com
转发 Unix域套接字
通过 tcp 端口访问内网的 unix域套接字(例如和 docker daemon 通信)。
frps 的部署步骤同上。
- 启动 frpc,启用
unix_domain_socket
插件,配置如下:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[unix_domain_socket] type = tcp remote_port = 6000 plugin = unix_domain_socket plugin_unix_path = /var/run/docker.sock
- 通过 curl 命令查看 docker 版本信息
curl http://x.x.x.x:6000/version
对外提供简单的文件访问服务
通过 static_file
插件可以对外提供一个简单的基于 HTTP 的文件访问服务。
frps 的部署步骤同上。
- 启动 frpc,启用
static_file
插件,配置如下:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[test_static_file] type = tcp remote_port = 6000 plugin = static_file # 要对外暴露的文件目录 plugin_local_path = /tmp/file # 访问 url 中会被去除的前缀,保留的内容即为要访问的文件路径 plugin_strip_prefix = static plugin_http_user = abc plugin_http_passwd = abc
- 通过浏览器访问
http://x.x.x.x:6000/static/
来查看位于/tmp/file
目录下的文件,会要求输入已设置好的用户名和密码。
安全地暴露内网服务
对于某些服务来说如果直接暴露于公网上将会存在安全隐患。
使用 stcp(secret tcp) 类型的代理可以避免让任何人都能访问到要穿透的服务,但是访问者也需要运行另外一个 frpc。
以下示例将会创建一个只有自己能访问到的 ssh 服务代理。
frps 的部署步骤同上。
- 启动 frpc,转发内网的 ssh 服务,配置如下,不需要指定远程端口:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[secret_ssh] type = stcp # 只有 sk 一致的用户才能访问到此服务 sk = abcdefg local_ip = 127.0.0.1 local_port = 22
- 在要访问这个服务的机器上启动另外一个 frpc,配置如下:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[secret_ssh_visitor] type = stcp # stcp 的访问者 role = visitor # 要访问的 stcp 代理的名字 server_name = secret_ssh sk = abcdefg # 绑定本地端口用于访问 ssh 服务 bind_addr = 127.0.0.1 bind_port = 6000
- 通过 ssh 访问内网机器,假设用户名为 test:
ssh -oPort=6000 test@127.0.0.1
点对点内网穿透
frp 提供了一种新的代理类型 xtcp 用于应对在希望传输大量数据且流量不经过服务器的场景。
使用方式同 stcp 类似,需要在两边都部署上 frpc 用于建立直接的连接。
目前处于开发的初级阶段,并不能穿透所有类型的 NAT 设备,所以穿透成功率较低。穿透失败时可以尝试 stcp 的方式。
- frps 除正常配置外需要额外配置一个 udp 端口用于支持该类型的客户端:
bind_udp_port = 7001
- 启动 frpc,转发内网的 ssh 服务,配置如下,不需要指定远程端口:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[p2p_ssh] type = xtcp # 只有 sk 一致的用户才能访问到此服务 sk = abcdefg local_ip = 127.0.0.1 local_port = 22
- 在要访问这个服务的机器上启动另外一个 frpc,配置如下:
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000[p2p_ssh_visitor] type = xtcp # xtcp 的访问者 role = visitor # 要访问的 xtcp 代理的名字 server_name = p2p_ssh sk = abcdefg # 绑定本地端口用于访问 ssh 服务 bind_addr = 127.0.0.1 bind_port = 6000
- 通过 ssh 访问内网机器,假设用户名为 test:
ssh -oPort=6000 test@127.0.0.1
功能说明
配置文件
由于 frp 目前支持的功能和配置项较多,未在文档中列出的功能可以从完整的示例配置文件中发现。
frps 完整配置文件
frpc 完整配置文件
Dashboard
通过浏览器查看 frp 的状态以及代理统计信息展示。
需要在 frps.ini 中指定 dashboard 服务使用的端口,即可开启此功能:
[common] dashboard_port = 7500 # dashboard 用户名密码,默认都为 admin dashboard_user = admin dashboard_pwd = admin
打开浏览器通过 http://[server_addr]:7500
访问 dashboard 界面,用户名密码默认为 admin
。
身份验证
从 v0.10.0 版本开始,所有 proxy 配置全部放在客户端(也就是之前版本的特权模式),服务端和客户端的 common 配置中的 token
参数一致则身份验证通过。
需要注意的是 frpc 所在机器和 frps 所在机器的时间相差不能超过 15 分钟,因为时间戳会被用于加密验证中,防止报文被劫持后被其他人利用。
这个超时时间可以在配置文件中通过 authentication_timeout
这个参数来修改,单位为秒,默认值为 900,即 15 分钟。如果修改为 0,则 frps 将不对身份验证报文的时间戳进行超时校验。
加密与压缩
这两个功能默认是不开启的,需要在 frpc.ini 中通过配置来为指定的代理启用加密与压缩的功能,压缩算法使用 snappy:
# frpc.ini [ssh] type = tcp local_port = 22 remote_port = 6000 use_encryption = true use_compression = true
如果公司内网防火墙对外网访问进行了流量识别与屏蔽,例如禁止了 ssh 协议等,通过设置 use_encryption = true
,将 frpc 与 frps 之间的通信内容加密传输,将会有效防止流量被拦截。
如果传输的报文长度较长,通过设置 use_compression = true
对传输内容进行压缩,可以有效减小 frpc 与 frps 之间的网络流量,加快流量转发速度,但是会额外消耗一些 cpu 资源。
客户端热加载配置文件
当修改了 frpc 中的代理配置,可以通过 frpc reload
命令来动态加载配置文件,通常会在 10 秒内完成代理的更新。
启用此功能需要在 frpc 中启用 admin 端口,用于提供 API 服务。配置如下:
# frpc.ini [common] admin_addr = 127.0.0.1 admin_port = 7400
之后执行重启命令:
frpc reload -c ./frpc.ini
等待一段时间后客户端会根据新的配置文件创建、更新、删除代理。
需要注意的是,[common] 中的参数除了 start 外目前无法被修改。
客户端查看代理状态
frpc 支持通过 frpc status -c ./frpc.ini
命令查看代理的状态信息,此功能需要在 frpc 中配置 admin 端口。
端口白名单
为了防止端口被滥用,可以手动指定允许哪些端口被使用,在 frps.ini 中通过 allow_ports
来指定:
# frps.ini [common] allow_ports = 2000-3000,3001,3003,4000-50000
allow_ports
可以配置允许使用的某个指定端口或者是一个范围内的所有端口,以 ,
分隔,指定的范围以 -
分隔。
端口复用
目前 frps 中的 vhost_http_port
和 vhost_https_port
支持配置成和 bind_port
为同一个端口,frps 会对连接的协议进行分析,之后进行不同的处理。
例如在某些限制较严格的网络环境中,可以将 bind_port
和 vhost_https_port
都设置为 443。
后续会尝试允许多个 proxy 绑定同一个远端端口的不同协议。
TCP 多路复用
从 v0.10.0 版本开始,客户端和服务器端之间的连接支持多路复用,不再需要为每一个用户请求创建一个连接,使连接建立的延迟降低,并且避免了大量文件描述符的占用,使 frp 可以承载更高的并发数。
该功能默认启用,如需关闭,可以在 frps.ini 和 frpc.ini 中配置,该配置项在服务端和客户端必须一致:
# frps.ini 和 frpc.ini 中 [common] tcp_mux = false
底层通信可选 kcp 协议
从 v0.12.0 版本开始,底层通信协议支持选择 kcp 协议,在弱网环境下传输效率提升明显,但是会有一些额外的流量消耗。
开启 kcp 协议支持:
- 在 frps.ini 中启用 kcp 协议支持,指定一个 udp 端口用于接收客户端请求:
# frps.ini [common] bind_port = 7000 # kcp 绑定的是 udp 端口,可以和 bind_port 一样 kcp_bind_port = 7000
- 在 frpc.ini 指定需要使用的协议类型,目前只支持 tcp 和 kcp。其他代理配置不需要变更:
# frpc.ini [common] server_addr = x.x.x.x # server_port 指定为 frps 的 kcp_bind_port server_port = 7000 protocol = kcp
- 像之前一样使用 frp,需要注意开放相关机器上的 udp 的端口的访问权限。
连接池
默认情况下,当用户请求建立连接后,frps 才会请求 frpc 主动与后端服务建立一个连接。当为指定的代理启用连接池后,frp 会预先和后端服务建立起指定数量的连接,每次接收到用户请求后,会从连接池中取出一个连接和用户连接关联起来,避免了等待与后端服务建立连接以及 frpc 和 frps 之间传递控制信息的时间。
这一功能比较适合有大量短连接请求时开启。
- 首先可以在 frps.ini 中设置每个代理可以创建的连接池上限,避免大量资源占用,客户端设置超过此配置后会被调整到当前值:
# frps.ini [common] max_pool_count = 5
- 在 frpc.ini 中为客户端启用连接池,指定预创建连接的数量:
# frpc.ini [common] pool_count = 1
负载均衡
可以将多个相同类型的 proxy 加入到同一个 group 中,从而实现负载均衡的功能。 目前只支持 tcp 类型的 proxy。
# fprc.ini [test1] type = tcp local_port = 8080 remote_port = 80 group = web group_key = 123[test2] type = tcp local_port = 8081 remote_port = 80 group = web group_key = 123
用户连接 frps 服务器的 80 端口,frps 会将接收到的用户连接随机分发给其中一个存活的 proxy。这样可以在一台 frpc 机器挂掉后仍然有其他节点能够提供服务。
要求 group_key
相同,做权限验证,且 remote_port
相同。
修改 Host Header
通常情况下 frp 不会修改转发的任何数据。但有一些后端服务会根据 http 请求 header 中的 host 字段来展现不同的网站,例如 nginx 的虚拟主机服务,启用 host-header 的修改功能可以动态修改 http 请求中的 host 字段。该功能仅限于 http 类型的代理。
# frpc.ini [web] type = http local_port = 80 custom_domains = test.yourdomain.com host_header_rewrite = dev.yourdomain.com
原来 http 请求中的 host 字段 test.yourdomain.com
转发到后端服务时会被替换为 dev.yourdomain.com
。
设置 HTTP 请求的 header
对于 type = http
的代理,可以设置在转发中动态添加的 header 参数。
# frpc.ini [web] type = http local_port = 80 custom_domains = test.yourdomain.com host_header_rewrite = dev.yourdomain.com header_X-From-Where = frp
对于参数配置中所有以 header_
开头的参数(支持同时配置多个),都会被添加到 http 请求的 header 中,根据如上的配置,会在请求的 header 中加上 X-From-Where: frp
。
获取用户真实 IP
目前只有 http 类型的代理支持这一功能,可以通过用户请求的 header 中的 X-Forwarded-For
和 X-Real-IP
来获取用户真实 IP。
需要注意的是,目前只在每一个用户连接的第一个 HTTP 请求中添加了这两个 header。
通过密码保护你的 web 服务
由于所有客户端共用一个 frps 的 http 服务端口,任何知道你的域名和 url 的人都能访问到你部署在内网的 web 服务,但是在某些场景下需要确保只有限定的用户才能访问。
frp 支持通过 HTTP Basic Auth 来保护你的 web 服务,使用户需要通过用户名和密码才能访问到你的服务。
该功能目前仅限于 http 类型的代理,需要在 frpc 的代理配置中添加用户名和密码的设置。
# frpc.ini [web] type = http local_port = 80 custom_domains = test.yourdomain.com http_user = abc http_pwd = abc
通过浏览器访问 http://test.yourdomain.com
,需要输入配置的用户名和密码才能访问。
自定义二级域名
在多人同时使用一个 frps 时,通过自定义二级域名的方式来使用会更加方便。
通过在 frps 的配置文件中配置 subdomain_host
,就可以启用该特性。之后在 frpc 的 http、https 类型的代理中可以不配置 custom_domains
,而是配置一个 subdomain
参数。
只需要将 *.{subdomain_host}
解析到 frps 所在服务器。之后用户可以通过 subdomain
自行指定自己的 web 服务所需要使用的二级域名,通过 {subdomain}.{subdomain_host}
来访问自己的 web 服务。
# frps.ini [common] subdomain_host = frps.com
将泛域名 *.frps.com
解析到 frps 所在服务器的 IP 地址。
# frpc.ini [web] type = http local_port = 80 subdomain = test
frps 和 fprc 都启动成功后,通过 test.frps.com
就可以访问到内网的 web 服务。
需要注意的是如果 frps 配置了 subdomain_host
,则 custom_domains
中不能是属于 subdomain_host
的子域名或者泛域名。
同一个 http 或 https 类型的代理中 custom_domains
和 subdomain
可以同时配置。
URL 路由
frp 支持根据请求的 URL 路径路由转发到不同的后端服务。
通过配置文件中的 locations
字段指定一个或多个 proxy 能够匹配的 URL 前缀(目前仅支持最大前缀匹配,之后会考虑正则匹配)。例如指定 locations = /news
,则所有 URL 以 /news
开头的请求都会被转发到这个服务。
# frpc.ini [web01] type = http local_port = 80 custom_domains = web.yourdomain.com locations = /[web02] type = http local_port = 81 custom_domains = web.yourdomain.com locations = /news,/about
按照上述的示例配置后,web.yourdomain.com
这个域名下所有以 /news
以及 /about
作为前缀的 URL 请求都会被转发到 web02,其余的请求会被转发到 web01。
通过代理连接 frps
在只能通过代理访问外网的环境内,frpc 支持通过 HTTP PROXY 和 frps 进行通信。
可以通过设置 HTTP_PROXY
系统环境变量或者通过在 frpc 的配置文件中设置 http_proxy
参数来使用此功能。
仅在 protocol = tcp
时生效。
# frpc.ini [common] server_addr = x.x.x.x server_port = 7000 http_proxy = http://user:pwd@192.168.1.128:8080
范围端口映射
在 frpc 的配置文件中可以指定映射多个端口,目前只支持 tcp 和 udp 的类型。
这一功能通过 range:
段落标记来实现,客户端会解析这个标记中的配置,将其拆分成多个 proxy,每一个 proxy 以数字为后缀命名。
例如要映射本地 6000-6005, 6007 这6个端口,主要配置如下:
# frpc.ini [range:test_tcp] type = tcp local_ip = 127.0.0.1 local_port = 6000-6006,6007 remote_port = 6000-6006,6007
实际连接成功后会创建 8 个 proxy,命名为 test_tcp_0, test_tcp_1 ... test_tcp_7
。
插件
默认情况下,frpc 只会转发请求到本地 tcp 或 udp 端口。
插件模式是为了在客户端提供更加丰富的功能,目前内置的插件有 unix_domain_socket
、http_proxy
、socks5
、static_file
。具体使用方式请查看使用示例。
通过 plugin
指定需要使用的插件,插件的配置参数都以 plugin_
开头。使用插件后 local_ip
和 local_port
不再需要配置。
使用 http_proxy 插件的示例:
# frpc.ini [http_proxy] type = tcp remote_port = 6000 plugin = http_proxy plugin_http_user = abc plugin_http_passwd = abc
plugin_http_user
和 plugin_http_passwd
即为 http_proxy
插件可选的配置参数
配置开机启动frp
(1)本地必须先手动输入帐号密码成功登录一次;
(2)执行“chmod +x /etc/rc.d/rc.local”命令确保有权限;
(3)把启动程序的命令添加到/etc/rc.d/rc.local文件中,此文件内容如下,
#!/bin/sh
# This script will be executed *after* all the other init scripts.
# You can put your own initialization stuff in here if you don't
# want to do the full Sys V style init stuff.
touch /var/lock/subsys/local
cd /root/frpc --本地实际安装目录
mono ./frpc -c ./frpc.ini & --自动读取上次成功登录帐号并以后台服务启动
转载于:https://my.oschina.net/u/3093577/blog/2046132
Frp内网端口映射教程相关推荐
- FRP内网穿透映射本地内网80端口到云服务器
FRP内网穿透映射本地内网80端口到云服务器 如题,我的配置中本地服务器和云服务器都为ubuntu20.04,但CentOS同样适用. PS:怎么把网页部署到本地80端口请找别的教程,本文重点在内网穿 ...
- (Frp第一篇)Frp内网穿透安装教程#Frps服务端一键安装脚本#
系统:CentOS7 内存:1G CPU:单核1G 客户端安装教程:(Frp第二篇)Frp内网穿透安装教程#Frp OpenWrt客户端安装#图形化管理 注意事项:记得给使用的端口开放防火墙,开放防火 ...
- 路由器_内网端口映射
路由器_内网端口映射,nat_端口映射_工具_软件_远程桌面_连接端 口_花生壳_个人_FTP_服务器_WEB站点 1.让(家里)宿舍自己的电脑跟公司(外地)的电脑互相远程桌面连接(免得每次COPY东 ...
- 网络通是免费的内网端口映射软件
网络通永久免费内网端口映射,内网穿透软件,可轻松访问连接内网,100%穿透内网,不需设置路由器,不需公网ip,不需固定ip,不需动态域名,用户可免费添加多个映射,适合在公司,小区宽带,出租屋,校园网, ...
- 端口映射软件大-比较|内网端口映射器使用方法
[转载]端口映射软件大-比较|内网端口映射器使用方法 2010-05-15 13:34 功能多少作为顺序: PortTunnel 2.0.13 简体中文版 优点:功能最为强大,默认为服务模式. 缺点: ...
- 网络通 永久免费 内网端口映射
网络通永久免费内网端口映射,内网穿透软件,可轻松访问连接内网,100%穿透内网,不需设置路由器,不需公网ip,不需固定ip,不需动态域名,用户可免费添加多个映射,适合在公司,小区宽带,出租屋,校园网, ...
- 如何外网登录访问瑞友天翼应用虚拟化系统?——快解析内网端口映射方案
瑞友天翼应用虚拟化系统(GWT System)是国内具有自主知识产权的应用虚拟化平台,是基于服务器计算(Server-based Computing)的应用虚拟化平台.如何将内网平台提供到互联网上外网 ...
- [内网端口映射]内网端口映射ubuntu
理解: "你家在1个小区里B栋2410室,你朋友来找你,找到小区门口,不知道你住哪层哪号?就问守门的保安,保安很客气的告诉了他你家详细门牌,所以你朋友很轻松的找到了你家.这个过程就是外网访问 ...
- openwrt设置内网端口映射
今天在raspberry群里,一个群友提出这样一个需求:他想通过电脑访问路由器(openwrt系统)的5555端口,相当于访问树莓派的22端口.好奇葩的需求,为什么不直接连接树莓派呢... 本来不想理 ...
最新文章
- js函数中的参数的个数
- 【网】关于 Blog 和 RSS 的全面介绍
- C# 数据库系统中使用GDI+绘制柱状图
- 华为回应申请大量“鸿蒙”商标;5G第一个演进版本标准正式完成;SUSE 收购 Rancher Labs| 极客头条
- JavaScript第三章forEach循环第四课
- Service与Android系统实现(1)-- 应用程序里的Service
- 创建 tomcat 服务的镜像
- 拓端tecdat|R语言自然语言处理(NLP):情感分析新闻文本数据
- B - Catch That Cow(广度搜索)
- 【平面设计基础】01:抠图—薄、透、露的朦胧美
- 红包大战复盘:谁赢得了这场春节游戏?
- 开源软件清除了“开源”和“商业”之间的障碍——商业软件、开源软件和自由软件的区别
- 区块链在图书馆中应用
- 3行代码,Python实现excel转换成任意格式的word文档
- 小程序消息提示框标题字数限制
- 5000头奶牛的数字化之旅
- 举个栗子!Tableau技巧(7):如何做帕累托图
- 一个屌丝程序员的青春(二零二)
- 理想汽车的智能驾驶“方法论”
- Glusterfs全局统一命名空间
热门文章
- STC15W408AS PCA模块实现脉宽捕获
- 手机上被忽略的小功能,居然非常的实用,超实用的功能发挥大作用
- VS2015打开VS2017工程
- 斯坦福NLP名课带学详解 | CS224n 第2讲 - 词向量进阶(NLP通关指南·完结)
- 由java中深度复制一伸出Collections.copy的使用
- Win10运行怎么打开
- Spring表单验证
- 小米路由器浏览器连不上网的问题
- struts2标签和表单验证
- win10电脑发现不了华为share_四种方法帮你解决win10系统网上邻居看不到其他共享电脑问题...