1. 为什么需要内网穿透？
想象一下这个场景：你家里有一台NAS设备，存满了工作文档和家庭照片。出差在外想访问这些文件时，却发现无法直接连接家里的网络。这就是内网穿透要解决的问题——让外部网络能够安全访问内网资源。
NPS作为一款开源内网穿透工具，相比同类产品有几个明显优势：一是性能损耗低，实测在树莓派上都能流畅运行；二是配置简单，自带Web管理界面；三是支持多种协议，TCP/UDP/HTTP都能搞定。我去年帮朋友公司部署了一套，用老旧笔记本当客户端，稳定运行了8个月没出过问题。
2. 环境准备与服务器部署
2.1 硬件选择建议
云服务器建议选择1核2G以上配置，实测阿里云t6实例（突发性能实例）在3个客户端同时连接时CPU占用会飙升到80%，而共享型s6实例表现更稳定。如果预算有限，记得关闭服务器上的其他服务。
本地客户端设备更灵活，我甚至在二手市场50块钱收的工控机上成功运行过。关键是要保证网络环境稳定，曾经有个客户用4G路由器当客户端，结果IP频繁变动导致连接中断。
2.2 具体部署步骤
先登录云服务器执行这些命令：
# 创建专用目录 mkdir -p /opt/nps && cd /opt/nps # 下载最新版（注意替换版本号） wget https://github.com/ehang-io/nps/releases/download/v0.26.10/linux_amd64_server.tar.gz # 解压安装 tar zxvf linux_amd64_server.tar.gz ./nps install启动服务时会遇到第一个坑：部分系统缺少依赖库。如果报错libc.so.6 not found，需要先安装基础库：
yum install glibc -y # CentOS apt install libc6 # Ubuntu管理界面默认使用8080端口，但强烈建议立即修改。编辑配置文件/etc/nps/conf/nps.conf：
http_proxy_port=9080 # 改成非常用端口 bridge_port=5821 # 客户端连接端口 web_username=myadmin # 修改管理员账号 web_password=复杂密码 # 长度建议16位以上改完记得重启服务：nps restart。现在用浏览器访问服务器IP:9080就能看到管理后台了。
3. 客户端配置实战
3.1 Windows客户端特殊处理
虽然官方文档主要讲Linux，但Windows用户更多。下载windows_amd64_client.tar.gz后：
- 解压到D盘根目录（避免中文路径）
- 用管理员身份运行CMD
- 执行连接命令时要注意转义字符：
.\npc.exe -server=1.2.3.4:5821 -vkey=客户端密钥 -type=tcp遇到防火墙拦截时，需要手动放行npc.exe。我建议在组策略里永久放行该程序，否则每次更新都要重新设置。
3.2 开机自启动方案
Linux下可以借助systemd：
# /etc/systemd/system/npc.service [Unit] Description=NPS Client [Service] ExecStart=/opt/nps/npc -server=1.2.3.4:5821 -vkey=密钥 -type=tcp Restart=always [Install] WantedBy=multi-user.targetWindows用户可以用任务计划程序，设置触发器为"登录时"，操作选择"启动程序"。有个细节：务必勾选"不管用户是否登录都要运行"，否则远程桌面断开后服务会停止。
4. 安全加固全攻略
4.1 端口防护三重奏
- 修改默认端口：管理端口改到5位数，客户端端口用iptables限制来源IP
- 防火墙策略：阿里云/腾讯云控制台要设置安全组，只放行必要端口
- Fail2Ban防护：安装后配置监控nps的认证日志，防止爆破
# 示例iptables规则（放行特定IP） iptables -A INPUT -p tcp --dport 5821 -s 客户端IP -j ACCEPT iptables -A INPUT -p tcp --dport 5821 -j DROP4.2 通信加密进阶方案
除了启用客户端配置里的"压缩加密"选项，还可以：
- 在服务端配置TLS证书
- 使用stunnel二次加密
- 定期轮换客户端密钥（管理界面可批量操作）
曾经有客户被中间人攻击，后来我们给每个客户端单独配置了ECC证书，再没出过安全问题。
5. 常见问题排查指南
连接失败：先检查telnet 服务端IP 端口通不通，再查客户端日志。常见错误码：
- 502：密钥错误
- 503：服务端资源不足
- 504：网络超时
速度慢：用iftop查看带宽占用。遇到过客户端的ISP限制UDP流量，换成TCP协议立刻好转。
突然断开：大概率是NAT超时。在客户端配置加上-heartbeat_interval=30参数，每30秒发个心跳包。
最后分享个真实案例：某客户用NPS暴露数据库端口到公网，虽然改了默认端口但还是被扫描到。后来我们给他做了IP白名单+端口敲门(port knocking)双重防护，类似门禁系统要按特定顺序"敲门"才会开放端口。具体实现可以用knockd工具，这里就不展开了。
