1. 为什么需要内网穿透？

想象一下这个场景：你正在本地开发一个Spring Boot应用，需要和异地的同事联调支付接口功能。但你的电脑在内网环境中，没有公网IP，同事根本无法直接访问你的本地服务。这时候，内网穿透技术就成了解决问题的金钥匙。

内网穿透（NAT穿透）的本质是通过公网服务器建立桥梁，将内网服务暴露到互联网。相比直接暴露内网环境，这种方式更安全可控。常见的应用场景包括：

• 远程开发调试：让外部成员访问本地开发环境
• 演示测试：向客户展示运行在内网的系统
• 智能家居：远程访问家庭网络中的设备
• 文件共享：临时搭建跨网络的文件传输通道

传统方案如FRP、Ngrok等工具配置复杂，而Lanproxy凭借以下优势脱颖而出：

• 可视化Web管理：通过浏览器即可管理所有客户端和映射规则
• Docker化部署：一键启动，无需复杂的环境配置
• 多协议支持：完美适配HTTP/HTTPS、SSH、RDP等协议
• 资源占用低：单核1GB内存的服务器即可流畅运行

2. 环境准备与架构设计

2.1 硬件资源规划

服务端（公网服务器）最低配置要求：

• CPU：1核（推荐2核）
• 内存：1GB（推荐2GB）
• 系统：Ubuntu 20.04+/CentOS 7+
• 必须开放端口：8090（管理后台）、4900（客户端通信）、4993（SSL通信）

客户端（内网主机）要求：

• 能访问互联网即可
• 无需公网IP
• 支持Windows/macOS/Linux

2.2 网络拓扑设计

典型的数据流向如下：

外部用户 → 公网服务器（Nginx）→ Lanproxy服务端 → Lanproxy客户端 → 内网应用

安全建议：

1. 为管理后台配置强密码
2. 限制客户端密钥的访问权限
3. 仅开放必要的端口映射
4. 所有传输层启用SSL加密

3. Docker Compose部署Lanproxy服务端

3.1 快速启动服务

创建docker-compose.yml文件：

version: '3.8' services: lanproxy: image: franklin5/lanproxy-server container_name: lanproxy-server environment: - LANPROXY_USERNAME=admin # 强烈建议修改 - LANPROXY_PASSWORD=SafePassword123! # 使用复杂密码 volumes: - ./config-data:/root/.lanproxy # 配置持久化 ports: - "8090:8090" # 管理后台 - "4900:4900" # 客户端通信 - "4993:4993" # SSL通信 - "9000-9100:9000-9100" # 外部访问端口池 restart: unless-stopped

启动命令：

mkdir -p ~/lanproxy && cd ~/lanproxy vim docker-compose.yml # 粘贴上述内容 docker-compose up -d

3.2 初始化配置

访问http://服务器IP:8090进入管理后台：

1. 添加客户端：

   • 导航到"客户端管理"
   • 点击"添加客户端"
   • 记录生成的密钥（客户端连接需要使用）

2. 配置端口映射：

   • 进入"配置管理"
   • 选择对应客户端
   • 添加映射规则示例：
     • 代理名称：springboot-app
     • 公网端口：9001（需在安全组放行）
     • 内网主机IP：192.168.1.100:8080（本地应用地址）

3.3 常见问题排查

• 端口冲突：通过netstat -tulnp | grep 端口号检查
• 容器启动失败：查看日志docker logs lanproxy-server
• 客户端无法连接：确认4900端口在防火墙已放行

4. 内网客户端配置实战

4.1 Docker客户端方案（推荐）

对于Linux/macOS环境：

docker run -d \ --name lanproxy-client \ -e LANPROXY_KEY="客户端密钥" \ -e LANPROXY_HOST="服务器IP或域名" \ --restart=always \ franklin5/lanproxy-client

Windows用户可以使用PowerShell执行：

docker run -d ` --name lanproxy-client ` -e LANPROXY_KEY="客户端密钥" ` -e LANPROXY_HOST="服务器IP或域名" ` --restart=always ` franklin5/lanproxy-client

4.2 原生Java客户端方案

适合需要深度定制的场景：

1. 下载客户端包：

wget https://github.com/ffay/lanproxy/releases/download/v0.1/proxy-client-0.1.zip unzip proxy-client-0.1.zip -d ~/lanproxy-client

2. 修改配置文件conf/config.properties：

client.key=你的客户端密钥 server.host=服务器地址 server.port=4900 # 非SSL端口 # 或使用SSL连接 # ssl.enable=true # server.port=4993

3. 启动客户端：

cd ~/lanproxy-client/bin chmod +x startup.sh ./startup.sh

5. Nginx反向代理与HTTPS加密

5.1 域名解析配置

假设我们有两个子域名：

• proxy.yourdomain.com→ Lanproxy管理后台
• app.yourdomain.com→ 内网应用访问入口

5.2 Nginx基础配置

创建/etc/nginx/conf.d/lanproxy.conf：

# 管理后台配置 server { listen 80; server_name proxy.yourdomain.com; location / { proxy_pass http://127.0.0.1:8090; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; } } # 应用访问配置 server { listen 80; server_name app.yourdomain.com; location / { proxy_pass http://127.0.0.1:9001; # 对应Lanproxy映射端口 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } }

测试并重载Nginx：

nginx -t && systemctl reload nginx

5.3 Let's Encrypt证书配置

使用Certbot自动获取证书：

sudo apt install certbot python3-certbot-nginx -y sudo certbot --nginx -d proxy.yourdomain.com -d app.yourdomain.com

证书自动续期测试：

sudo certbot renew --dry-run

5.4 HTTPS强化配置

在Nginx配置中添加安全头：

server { listen 443 ssl http2; server_name app.yourdomain.com; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; # 安全增强配置 add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; add_header X-Content-Type-Options nosniff; add_header X-Frame-Options DENY; location / { proxy_pass http://127.0.0.1:9001; proxy_set_header Host $host; proxy_set_header X-Forwarded-Proto $scheme; } }

6. 性能优化与安全加固

6.1 连接数优化

调整Lanproxy的JVM参数，创建jvm.conf：

JAVA_OPTS="-Xms512m -Xmx1024m -XX:MaxMetaspaceSize=256m"

6.2 防火墙规则配置

使用UFW限制访问：

sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw allow 4900/tcp sudo ufw enable

6.3 监控与告警

配置Prometheus监控：

1. 添加metrics端点配置
2. 使用Grafana展示关键指标：
   • 在线客户端数
   • 流量统计
   • 连接成功率

7. 高级应用场景

7.1 多级穿透架构

对于复杂网络环境：

公网服务器 → 二级代理服务器 → 内网终端

7.2 负载均衡配置

在Nginx中配置多客户端负载：

upstream lanproxy_cluster { server 192.168.1.100:8080; server 192.168.1.101:8080; server 192.168.1.102:8080; } server { location / { proxy_pass http://lanproxy_cluster; } }

7.3 自动化运维脚本

部署脚本示例：

#!/bin/bash # 自动部署脚本 CONFIG_DIR="/opt/lanproxy" mkdir -p $CONFIG_DIR/{config-data,logs} docker run -d \ --name lanproxy-client \ -e LANPROXY_KEY="$1" \ -e LANPROXY_HOST="$2" \ -v $CONFIG_DIR/logs:/opt/lanproxy/logs \ --restart=always \ franklin5/lanproxy-client