在Linux系统中实现远程连接内网设备,通常需要将内网服务暴露到外网，常见方法包括路由器端口映射、内网穿透工具以及VPN方案，以下是详细步骤和注意事项，帮助用户安全、高效地完成内网远程连接。
准备工作
在配置前,需确认内网设备的Linux服务器信息：
- 内网IP地址：通过
ip addr或ifconfig命令查看，通常为168.x.x、x.x.x等私有网段地址。 - 公网IP地址：登录路由器管理界面或访问
ip.sb等网站获取，若为动态IP，需考虑DDNS（动态域名解析）服务。 - 端口与协议：确定远程连接使用的端口（如SSH默认22端口）及协议（TCP/UDP），并确保服务器防火墙已开放对应端口（以
firewalld为例，执行firewall-cmd --permanent --add-port=22/tcp并reload）。
方法一：路由器端口映射（适用于有公网IP的场景）
若路由器分配有公网IP（静态或动态），可通过端口映射将外网请求转发至内网Linux服务器。
操作步骤：
- 登录路由器管理界面：浏览器输入路由器网关地址（如
168.1.1），使用管理员账号登录。 - 找到端口转发选项：通常在“转发规则”“虚拟服务器”或“NAT设置”中。
- 配置转发规则：
- 外部端口：外网访问的端口（如2222，避免与常用端口冲突）。
- 内部IP：内网Linux服务器的IP（如
168.1.100）。 - 内部端口：服务器监听端口（如SSH的22端口）。
- 协议：选择TCP（SSH默认TCP）。
- 保存并启用规则：路由器重启后，外网可通过
公网IP:外部端口访问内网服务（如ssh root@公网IP -p 2222）。
优缺点：
- 优点：无需额外工具，直接利用路由器功能，稳定性高。
- 缺点：依赖公网IP，动态IP需配合DDNS；部分运营商限制公网端口访问。
方法二：内网穿透工具（适用于无公网IP或动态IP场景）
若路由器无公网IP或动态IP频繁变化,可使用内网穿透工具（如frp、ngrok）将内网服务映射至公网，以frp为例，需一台具有公网IP的服务器作为“中转机”。
服务端（公网服务器）配置：
- 下载frp：从frp官方GitHub下载对应系统版本，解压后编辑
frps.ini：[common] bind_port = 7000 # 服务端监听端口 vhost_http_port = 8080 # HTTP映射端口（可选） token = your_token # 加密密钥，客户端需一致
- 启动服务端：
./frps -c frps.ini，后台运行可添加-d参数。
客户端（内网Linux服务器）配置：
-
下载并安装frp：与服务端版本一致，解压后编辑
frpc.ini：
[common] server_addr = 公网服务器IP # 服务端公网IP server_port = 7000 # 服务端bind_port token = your_token # 与服务端一致 [ssh] type = tcp # 协议类型 local_ip = 127.0.0.1 # 内网服务器本地IP local_port = 22 # 本地服务端口（如SSH） remote_port = 6000 # 外网访问端口
-
启动客户端：
./frpc -c frpc.ini，成功后外网可通过公网服务器IP:6000访问内网SSH（如ssh root@公网服务器IP -p 6000）。
优缺点：
- 优点：无需公网IP，支持动态IP；可映射多种服务（SSH、HTTP等）。
- 缺点：依赖公网服务器，需确保服务端端口可访问；免费版可能有带宽或流量限制。
方法三：VPN方案（安全稳定的远程访问）
若需长期、安全地远程访问内网，可搭建VPN（如OpenVPN、WireGuard），通过加密隧道实现内网通信，以WireGuard为例（轻量级、高性能）：
服务端配置：
- 安装WireGuard：
yum install epel-release -y && yum install wireguard-tools -y # CentOS/RHEL apt install wireguard -y # Debian/Ubuntu
- 生成密钥对：
umask 077 wg genkey | tee privatekey | wg pubkey > publickey
- 配置服务端：编辑
/etc/wireguard/wg0.conf：[Interface] Address = 10.0.0.1/24 # VPN服务器IP段 PrivateKey = 服务端privatekey内容 ListenPort = 51820 # VPN监听端口 PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
- 启动服务：
wg-quick up wg0，并设置开机自启systemctl enable wg-quick@wg0。
客户端配置：
-
生成客户端密钥对（同服务端步骤）。
-
配置客户端：编辑
/etc/wireguard/wg0.conf，添加服务端公钥并配置客户端IP：
[Interface] Address = 10.0.0.2/24 # 客户端VPN IP PrivateKey = 客户端privatekey内容 DNS = 8.8.8.8 # DNS服务器（可选） [Peer] PublicKey = 服务端publickey内容 AllowedIPs = 0.0.0.0/0 # 允许访问的内网网段（如192.168.1.0/24） Endpoint = 公网服务器IP:51820 # 服务端IP和端口
-
连接VPN：
wg-quick up wg0，成功后客户端可通过VPN IP访问内网资源。
优缺点：
- 优点：加密通信，安全性高；可访问整个内网网段，适合多设备接入。
- 缺点：配置相对复杂；需公网服务器支持。
三种方法对比
| 方法 | 适用场景 | 复杂度 | 安全性 | 成本 |
|---|---|---|---|---|
| 路由器端口映射 | 有公网IP，临时或简单访问 | 低 | 中 | 无（需路由器） |
| 内网穿透工具 | 无公网IP，动态IP，多服务映射 | 中 | 中 | 免费/付费 |
| VPN方案 | 长期稳定访问，高安全性需求 | 高 | 高 | 需公网服务器 |
注意事项
- 防火墙与安全组：确保服务器防火墙、云服务器安全组（如阿里云ECS、腾讯云CVM）开放了对应端口（如SSH的22、WireGuard的51820）。
- 动态IP处理：若公网IP动态变化，可使用DDNS服务（如花生壳、Cloudflare DDNS）将域名与动态IP绑定。
- 权限控制：远程连接时避免使用root用户，建议创建普通用户并配置
sudo权限，减少安全风险。
FAQs
Q1：动态公网IP如何实现稳定的远程连接？
A：可通过DDNS（动态域名解析）服务将动态IP与固定域名绑定，在Cloudflare中创建域名，并配置API脚本定时更新DNS记录（如curl "https://api.cloudflare.com/client/v4/zones/ZONE_ID/dns_records" -X POST -H "Authorization: Bearer API_TOKEN" -H "Content-Type: application/json" --data '{"type":"A","name":"yourdomain.com","content":"当前公网IP"}'），远程连接时使用域名替代IP即可。
Q2：连接内网服务器时提示“Connection timed out”怎么办？
A：首先检查内网服务器防火墙是否开放端口（firewall-cmd --list-ports或iptables -L -n）；其次确认路由器端口映射规则是否正确（内部IP和端口是否匹配）；若使用内网穿透，检查服务端和客户端的token是否一致，服务端端口是否被占用；若为VPN，确认客户端AllowedIPs是否包含目标内网网段，以及VPN服务是否正常运行（wg show）。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/37795.html
