1. 为什么需要内网穿透？
想象一下这个场景：你在家里搭建了一个NAS存储服务器，存满了珍贵的照片和视频。出差时想访问这些文件，却发现家里没有公网IP；或是作为开发者，需要调试微信小程序接口，但本地服务只能在内网访问。这时候就需要内网穿透技术来打通内外网隔阂。
内网穿透的本质是在公网服务器与内网设备之间建立隧道，让外部请求能够穿透层层网络障碍到达目标设备。相比付费的第三方穿透服务，自建方案有三大优势：数据完全自主掌控、带宽资源独占、配置灵活自由。NPS作为开源方案中的佼佼者，支持TCP/UDP全协议转发，还自带Web管理界面，对新手特别友好。
2. 环境准备与部署规划
2.1 硬件需求清单
- 服务端：需要一台具有公网IP的云服务器（1核1G配置足够）
- 客户端：运行ImmortalWRT的路由器（MT7621等常见芯片均可）
- 测试设备：任意内网主机（用于验证穿透效果）
提示：如果没有真实公网IP，可以在局域网内用两台设备模拟测试，原理完全相同
2.2 软件依赖检查
服务端需提前安装：
# 检查Docker是否安装 docker --version # 检查docker-compose是否安装 docker-compose --version客户端需确认：
- ImmortalWRT固件版本≥21.02
- 已开启SSH管理权限
- 剩余存储空间≥10MB
3. 服务端Docker化部署
3.1 编写docker-compose模板
新建docker-compose.yml文件，推荐使用以下增强配置：
version: '3.8' services: nps: image: zhangsean/nps:latest restart: unless-stopped container_name: nps-server security_opt: - no-new-privileges:true environment: NPS_MODE: server NPS_BRIDGE_PORT: 8024 NPS_HTTP_PROXY_PORT: 8085 NPS_PUBLIC_VKEY: your_custom_key_here ports: - "8024:8024/tcp" - "8085:8085/tcp" - "8080:8080/tcp" # 管理界面 volumes: - ./nps/conf:/conf - ./nps/logs:/var/log/nps networks: - nps-net networks: nps-net: driver: bridge关键改进点：
- 使用特定版本标签避免自动升级导致兼容问题
- 添加安全限制防止权限提升
- 独立网络隔离减少端口暴露
- 日志目录持久化方便排查问题
3.2 启动与防火墙配置
执行部署命令：
mkdir -p ./nps/{conf,logs} docker-compose up -d针对CentOS防火墙的放行示例：
firewall-cmd --permanent --add-port=8024/tcp firewall-cmd --permanent --add-port=8085/tcp firewall-cmd --reload4. ImmortalWRT客户端配置
4.1 软件包安装
通过SSH登录路由器后：
opkg update opkg install nps-client常见问题处理：
- 若提示包不存在，需先添加软件源：
echo "src/gz custom https://your_mirror_url" >> /etc/opkg/customfeeds.conf - 空间不足时可挂载U盘扩展overlay
4.2 连接参数配置
编辑/etc/nps-client.conf：
[common] server_addr=your_server_ip server_port=8024 vkey=your_verify_key conn_type=tcp auto_reconnection=true max_conn=3启动服务并设置开机自启：
/etc/init.d/nps-client enable /etc/init.d/nps-client start5. 穿透模式实战对比
5.1 端口映射模式
适用于临时测试场景，在NPS管理界面添加：
| 字段 | 示例值 | 说明 |
|---|---|---|
| 客户端 | 选择已在线设备 | |
| 服务端口 | 8090 | 公网访问端口 |
| 目标IP | 192.168.1.100 | 内网设备地址 |
| 目标端口 | 8080 | 内网服务端口 |
验证命令：
curl http://公网IP:80905.2 域名绑定模式
更适合生产环境，需要：
- 域名DNS解析到服务器IP
- 在NPS中添加域名绑定规则
- 配置HTTPS证书（可选）
Nginx反向代理示例配置：
server { listen 443 ssl; server_name your.domain.com; ssl_certificate /path/to/cert.pem; ssl_certificate_key /path/to/key.pem; location / { proxy_pass http://127.0.0.1:8085; proxy_set_header Host $host; } }6. 安全加固与性能调优
6.1 防护措施
- 修改默认管理密码
- 限制客户端连接IP
- 启用TLS加密通信
- 配置fail2ban防爆破
6.2 性能监控
通过Docker stats观察资源占用：
docker stats nps-server日志分析命令示例：
grep "connection established" ./nps/logs/nps.log | awk '{print $1}' | sort | uniq -c7. 常见故障排查
客户端离线问题：
- 检查服务端8024端口连通性：
telnet your_server_ip 8024 - 查看客户端日志：
logread | grep nps
域名访问超时：
- 确认DNS解析已生效
- 检查Nginx/Apache代理配置
- 验证证书有效性
我在实际项目中遇到过内存泄漏问题，后来发现是旧版Docker的BUG。建议定期执行docker system prune清理无用资源，保持宿主机健康状态。
