全平台内网穿透终极解决方案：基于Docker和NPS的详细搭建与配置指南
沐宇老师
编辑于 2025年10月04日 11:05
收录于文集
共3篇

在当今这个万物互联的数字时代，远程访问家庭或办公室内部网络设备的需求与日俱增。无论是远程控制NAS、访问公司内部OA系统、调试智能家居设备，还是进行异地办公，我们都希望能够随时随地、安全稳定地连接到内网资源。然而，一个残酷的现实是：由于IPv4地址的枯竭，国内各大ISP（互联网服务提供商）已大规模回收家庭宽带的公网IP地址，转而采用NAT（网络地址转换）技术，使得我们无法直接从外部网络访问家中的设备。

内网穿透技术，正是打破这堵“网络高墙”的金钥匙。 它通过一个拥有公网IP的中间服务器进行流量转发，巧妙地将内网服务暴露给公网，从而完美解决了无公网IP的访问难题。在众多内网穿透工具中，NPS 因其功能强大、配置简单、性能优异而脱颖而出。本教程将为您带来一份从零开始、手把手教学的NPS内网穿透服务搭建全攻略。

一、 内网穿透：原理、场景与工具选型

在开始实战之前，我们有必要从理论层面理解内网穿透究竟是如何工作的，以及它能在哪些场景下大显身手。

1.1 内网穿透工作原理浅析

您可以将其理解为一个“信使”工作模式：

  • 内网客户端（NPC）：驻留在您家庭或办公室网络中的设备上，它主动向外连接到一个拥有公网IP的服务端（NPS），并建立一个稳定的、长期的加密控制通道。这个行为好比内网客户端向公网服务器“报到”，并保持联系。

  • 公网服务端（NPS）：部署在云服务器上，它监听来自两个方向的连接：一是来自内网客户端的控制连接，二是来自外部访问用户的数据连接。

  • 访问流程：当外部用户想要访问内网服务时（例如，访问 http://公网IP:10080），请求首先到达公网服务端。服务端通过之前建立好的控制通道，将请求转发给对应的内网客户端。内网客户端再将请求发送给目标内网设备（如NAS的Web界面），最后将响应数据按原路返回给外部用户。整个过程对用户而言几乎是透明的，感觉就像直接访问内网设备一样。

1.2 核心应用场景剖析

  • 远程办公与文件访问：安全地访问公司内网的ERP、CRM系统，或通过SMB/FTP协议连接到家中的NAS，实现文件的远程读写与管理。

  • 个人云服务搭建：在家中搭建个人网盘（如Nextcloud）、博客（如WordPress）、密码管理器（如Vaultwarden），并通过内网穿透对外提供服务，真正做到“数据主权在我”。

  • 开发与调试：微信小程序、公众号开发因其安全要求，需要配置授权域名，内网穿透可以让您在本地开发环境中进行实时调试，极大提升开发效率。

  • 设备远程管理：通过SSH远程连接Linux服务器，通过RDP/MSTSC控制Windows电脑桌面，或管理智能路由器、树莓派等嵌入式设备。

  • 媒体与娱乐：远程访问家庭媒体库（如Jellyfin, Plex），随时随地观看私人影音收藏。

1.3 为什么选择NPS？

与Ngrok、FRP等优秀工具相比，NPS具备以下独特优势：

  • 功能全面：支持TCP、UDP、HTTP(S)、SOCKS5等多种代理模式，几乎覆盖所有网络协议。

  • 管理便捷：提供直观的Web图形化管理界面，配置隧道、查看状态、监控流量皆可一键完成。

  • 性能优异：作为Go语言编写的高性能代理，资源占用低，转发效率高。

  • 安全可靠：支持通信加密、数据压缩、多路复用，并集成了多用户管理和权限控制。

二、 实战准备：云服务器选择与系统初始化

“工欲善其事，必先利其器”。搭建NPS服务端的第一步，是准备一台拥有公网IP的云服务器。

2.1 云服务器选购指南

对于内网穿透服务，服务器的选择主要考虑带宽、流量和稳定性。

  • 带宽：决定了您访问内网服务时的最大速度。如果只是传输文档、SSH管理，1-5Mbps带宽已足够；如果需要传输大文件或观看高清视频，建议选择10Mbps及以上带宽。

  • 流量：注意服务器的月流量包，超出后可能会被限速或产生额外费用。

  • 地域：选择离您（或您的目标用户）地理位置较近的机房，可以有效降低网络延迟。

推荐选择：

  • 雨云（RainYun）：性价比高，对国内用户友好。通过此优惠链接（https://www.rainyun.com/ODQzODIw_）注册并使用优惠码 ODQzODIw，可获5折优惠券，非常适合入门。

  • 其他选择：阿里云、腾讯云的轻量应用服务器也是不错的选择，通常提供充足的带宽和流量。

2.2 系统连接与基础配置

购买服务器后，您将获得一个公网IP地址、SSH端口（默认为22）、root用户名和密码。

  1. 使用SSH客户端连接：推荐使用 MobaXterm（功能全面）或 Termius（界面现代）。输入服务器的IP和SSH端口，使用root账号和密码登录。

  2. 系统更新：登录后，首先更新系统软件包，确保安全性和稳定性。

  3. bash

# 对于Debian/Ubuntu系统 apt update && apt upgrade -y # 对于CentOS/Rocky Linux系统 dnf update -y

  1. 安全加固（可选但推荐）：

    • 修改SSH默认端口。

    • 禁用root密码登录，改用SSH密钥对认证。

    • 配置防火墙（如UFW、firewalld），仅开放必要的端口。

三、 服务端部署：使用Docker快速搭建NPS

我们采用Docker进行部署，这是目前最简洁、最不易出错的方式，能完美解决环境依赖问题。

3.1 Docker引擎安装与配置

如果您的服务器系统模板未预装Docker，请执行以下命令安装：

bash # 1. 安装Docker官方源和工具 apt install -y apt-transport-https ca-certificates curl software-properties-common curl -fsSL https://download.docker.com/linux/debian/gpg | apt-key add - add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/debian $(lsb_release -cs) stable" # 2. 安装Docker引擎 apt update && apt install -y docker-ce # 3. 启动Docker并设置开机自启 systemctl enable docker && systemctl start docker # 4. 验证安装 docker -v

为了提升在国内拉取Docker镜像的速度，强烈建议配置国内镜像加速器：

bash # 创建Docker配置目录 mkdir -p /etc/docker # 编辑配置文件 nano /etc/docker/daemon.json

将以下内容写入文件（您可以根据需要替换为其他加速器地址）：

json { "registry-mirrors": [ "https://docker.m.daocloud.io", "https://registry.docker-cn.com", "https://mirror.ccs.tencentyun.com" ] }

保存退出后，重启Docker服务：

bash systemctl restart docker

3.2 NPS服务端部署详解

  1. 准备配置目录：在服务器上创建一个目录，用于持久化NPS的配置文件。

bash mkdir -p /opt/nps/conf

  1. 下载并解压默认配置：NPS的运行依赖于其配置文件。

bash # 安装必要的工具 apt install -y wget unzip # 下载配置文件包（如果链接失效，请参考原文寻找最新链接） wget --no-check-certificate -O nps_conf.zip https://tc2.zeruns.com/other/nps_conf.zip # 解压到配置目录 unzip -o nps_conf.zip -d /opt/nps/conf/

  1. 拉取镜像并启动容器：使用Docker一键运行NPS服务端。

bash # 拉取官方镜像 docker pull yisier1/nps # 运行NPS容器 docker run -d \ --name=nps \ --restart=always \ --net=host \ -v /opt/nps/conf:/conf \ yisier1/nps

  • --restart=always：确保容器在异常退出或服务器重启后能自动运行。

  • --net=host：让容器使用宿主机的网络栈，省去复杂的端口映射，性能最佳。

  • -v /opt/nps/conf:/conf：将宿主的配置目录挂载到容器内，实现配置持久化。

  • 验证服务：查看容器日志，确认NPS已正常启动。

bash docker logs nps

  1. 如果看到日志中输出"nps start success"之类的信息，说明启动成功。

3.3 初始登录与安全配置

现在，在浏览器中打开 http://你的服务器IP:8080，您将看到NPS的Web管理登录界面。使用默认账号 admin 和密码 123 进行登录。

出于安全考虑，第一步必须是修改默认密码！

  1. 修改Web管理密码：

bash nano /opt/nps/conf/nps.conf

  1. 找到 web_password 和 web_username 字段，修改为您自己的强密码和用户名。

ini web_username=my_admin_user # 修改为您的用户名 web_password=MySuperStrongPassword!123 # 修改为复杂的密码

  1. 同时，建议将 public_vkey 设置为空，关闭客户端通过配置文件直接连接的公开通道，增强安全性。

ini public_vkey=

  1. 重启NPS容器使配置生效：

bash docker restart nps

四、 客户端配置：让内网设备连接到NPS

服务端就绪后，我们需要在内网设备上安装客户端（NPC），并让它向服务端“报到”。

4.1 在Web界面添加客户端

  1. 重新登录NPS Web管理界面。

  2. 进入 客户端 菜单。

  3. 点击 新增，创建一个新的客户端。

    • 备注：填写一个易于识别的名称，如“家里的NAS”、“办公室电脑”。

    • 其他设置：如连接模式（tcp/kcp）、压缩、加密等，初期可保持默认。

  1. 点击 新增 后，客户端列表中将出现一个新条目。点击其左侧的 + 号，即可展开查看用于连接此客户端的唯一命令。请妥善保管此命令，接下来的步骤将用到它。

4.2 多平台客户端安装实战

A. Windows系统

  1. 下载客户端：从NPS Releases页面下载 windows_amd64_client.tar.gz。

  2. 安装为系统服务（推荐）：

    • 解压下载的文件，得到 npc.exe。

    • 在 C: 盘根目录创建 npc 文件夹，并将 npc.exe 放入其中。

    • 以管理员身份打开命令提示符（CMD）。

  3. 执行以下命令（请替换为您自己的连接命令）：

cmd cd C:\npc npc.exe install -server=你的服务器IP:8024 -vkey=你的验证密钥 -type=tcp

  • 打开“服务”应用程序（services.msc），找到名为 nps内网穿透客户端 的服务，将其启动类型设置为“自动”，并启动它。

B. Linux系统（Docker方式 - 通用且推荐）

此方法适用于x86、ARM架构的设备，包括树莓派、各类NAS。

bash docker pull yisier1/npc docker run -d \ --name=npc \ --restart=always \ --net=host \ yisier1/npc \ -server=你的服务器IP:8024 \ -vkey=你的验证密钥 \ -type=tcp

C. Linux系统（二进制方式）

适用于不想安装Docker的纯净系统。

bash # 下载对应架构的客户端（以linux_amd64为例） wget --no-check-certificate -O npc.tar.gz https://github.com/yisier/nps/releases/download/v0.26.16.1/linux_amd64_client.tar.gz # 解压 tar -zxvf npc.tar.gz # 安装并启动服务 sudo ./npc install -server=你的服务器IP:8024 -vkey=你的验证密钥 -type=tcp sudo npc start

安装完成后，回到NPS Web管理界面的 客户端 列表，您将看到该客户端的状态由 离线 变为 在线。至此，内网设备已成功与服务端建立连接。

五、 创建隧道：将内网服务映射至公网

这是最后一步，也是最关键的一步。我们将通过创建“隧道”来指定将内网的哪个服务端口映射到服务器的哪个公网端口。

5.1 创建TCP隧道（以远程桌面RDP为例）

假设我们要通过公网访问内网一台Windows电脑的远程桌面（默认使用3389端口）。

  1. 在NPS Web界面的 客户端 列表中，找到对应的在线客户端，点击其 隧道 列下的 新增。

  2. 填写隧道信息：

    • 隧道类型：选择 TCP。

    • 客户端ID：自动关联，无需修改。

    • 服务端端口：填写一个云服务器上未被占用的端口，例如 33890。外部用户将通过访问 服务器IP:33890 来连接内网电脑。

    • 目标 (IP:端口)：填写内网中提供服务的设备地址，例如 192.168.1.100:3389。如果NPC客户端和提供服务的是同一台机器，可填写 127.0.0.1:3389。

  1. 点击 新增。

现在，您就可以在任何能访问互联网的电脑上，打开“远程桌面连接”工具，在计算机栏输入 你的服务器IP:33890，即可连接到内网那台Windows电脑。

5.2 其他常用隧道模式

  • HTTP模式：用于穿透内网的Web服务（如本地搭建的网站、路由器管理界面）。它支持基于域名的转发，可以将不同的域名指向同一个客户端的不同内网Web服务。

  • UDP模式：用于需要UDP协议的服务，如内网DNS解析、游戏联机等。

  • SOCKS5模式：创建一个代理服务器，让您的外部设备（如手机）通过此代理访问客户端整个内网的所有资源，实现类似VPN的效果。

六、 进阶配置与优化

  • 域名访问：如果您拥有自己的域名，可以将其解析到云服务器的IP，并在NPS中配置域名代理，从而实现通过域名（如 nas.yourdomain.com）而非 IP:端口 的方式来访问内网服务，更加优雅和安全。

  • 流量与带宽限制：在创建隧道或客户端时，可以设置流量上限和带宽限制，防止资源被滥用。

  • HTTPS加密：NPS支持为HTTP隧道配置SSL证书，实现HTTPS加密访问，保护数据传输安全。

七、 故障排查与总结

常见问题：

  • 客户端一直离线：检查连接命令中的服务器IP、端口和vkey是否正确；检查服务器防火墙是否放行了客户端连接端口（默认8024）。

  • 隧道创建后无法访问：检查服务端端口是否被其他程序占用；检查内网目标服务的IP和端口是否正确，且服务本身正常运行；检查内网设备本身的防火墙设置。

通过本篇教程，您已经成功地搭建了一套功能完整、安全可控的内网穿透系统。NPS的强大功能远不止于此，您可以继续探索其Web API、多用户管理、日志分析等高级特性，打造属于您自己的、完全私有的“云服务”。网络无界，掌控由您！

本文为我原创，未经授权禁止转载
cv43244512