突破NAT藩篱：从底层原理到内网穿透实战全图解

文章目录第 1 讲私网与公网的魔法门NAT 背景、私网 IP 与 IP 转换过程1. 宏观背景42 亿个门牌号如何养活数百亿设备生活中的形象比喻高校宿舍分机号 vs 外部公网总机2. 什么是 NAT它在扮演什么角色3. 步步追踪NAT 的 IP 替换全过程第一步客户端出网私网→ \rightarrow→公网第二步服务器回包公网→ \rightarrow→私网本讲核心知识自测与面试精选第 2 讲全寝室共用一个公网 IPNAPT 端口复用机制与 NAT 的致命缺陷1. 救场英雄NAPT 机制引入端口号的魔法生活中的形象比喻公司前台收发快递2. NAPT 转换表与通信全流程推演追踪两台机器的数据流转3. 表项的生命周期TCP 连接与表项销毁4. 辩证看待NAT/NAPT 技术的致命缺陷本讲核心知识自测与面试精选第 3 讲身份隐身与流量调度正向代理 vs 反向代理的深度剖析1. 经典生活比喻表姐代购日本尿不湿2. 正向代理Forward Proxy客户端的“全能跳板”工作流程核心功能与应用场景3. 反向代理Reverse Proxy服务端的“超级前台与保护伞”核心功能与架构优势4. 深度对比NAT 设备 vs 代理服务器本讲核心知识自测与面试精选第 4 讲打通内网的任督二脉NAT 穿透原理与 FRP 打洞实战推演1. 核心破局思路引入具备公网 IP 的“第三方信使”生活中的形象比喻2. 内网穿透神器认识 FRP 的工作架构3. 步步推演FRP 内网打洞全流程步骤一内网主动建桥建立持久控制通道步骤二外部用户借道访问流量无缝中转4. 计算机网络全栈大串联与总结本讲核心知识自测与面试精选第 1 讲私网与公网的魔法门NAT 背景、私网 IP 与 IP 转换过程1. 宏观背景42 亿个门牌号如何养活数百亿设备IPv4 协议设计于上个世纪采用 32 位地址总共只能提供约42.9 亿个独立 IP 地址。而今天光是全球的智能手机、电脑、智能家居、服务器就远远超过了这个数字。网络先驱们想出了一个极其聪明的解决办法划分“私有 IP”与“公网全局IP”并引入 NAT 技术进行中转。生活中的形象比喻高校宿舍分机号 vs 外部公网总机公网 IP全局唯一就像大学收发室在电信局申请的真实对法国话号码比如010-88888888。全世界打这个号码都能准确找到这所大学。私有 IP局域网内部使用就像学校给每个宿舍分配的内部分机号比如 1 号楼 302 是302号2 号楼 302 也是302号。宿舍之间互相打电话只要拨 3 0 2不同的学校不同的局域网完全可以有相同的“302 宿舍分机号”彼此互不冲突在网络中常见的私有 IP 地址段有10.0.0.0~10.255.255.255172.16.0.0~172.31.255.255192.168.0.0~192.168.255.255你在家里、学校或者公司连上 Wi-Fi查到的 IP 几乎都是192.168.x.x或10.x.x.x这些都是私有 IP它们绝对不能直接出现在公网互联网上路由。2. 什么是 NAT它在扮演什么角色NATNetwork Address Translation网络地址转换它是部署在路由器或防火墙上的一种核心功能。它的核心职责就是充当私有 IP 世界与公网 IP 世界之间的“翻译官与换壳人”。------------------------ ------------------------ | 私有 IP 地址的世界 | | 全局 IP 地址的世界 | | (学校/家庭/公司局域网) | | (广阔互联网) | | | | | | [客户端A] 10.0.0.10 | | | | [客户端B] 10.0.0.11 | [ NAT 路由器 ] [外网服务器 163.221.120.9]| | [客户端C] 10.0.0.12 | (公网IP: | | | | 202.244.174.37) | | ------------------------ ------------------------3. 步步追踪NAT 的 IP 替换全过程假设局域网内的客户端 A私网 IP: 10.0.0.10想要访问公网上的Web 服务器公网 IP: 163.221.120.9第一步客户端出网私网→ \rightarrow→公网客户端 A 封装出一个 IP 数据包源 IP10.0.0.10我自己的私网 IP目的 IP163.221.120.9外网服务器 IP数据包到达局域网的出口设备——NAT 路由器局域网网关: 10.0.0.1公网 IP: 202.244.174.37。NAT 路由器实施关键替换路由器将 IP 首部中的源地址从10.0.0.10改写为自己的公网 IP202.244.174.37并在自己内部的内存中建立一张NAT 转换映射表“刚才从 10.0.0.10 发往 163.221.120.9 的请求被我改成了从 202.244.174.37 发出”。改写后数据包被丢上公网互联网。外网服务器看到的是“202.244.174.37 这台机器在向我请求网页”服务器根本不知道内网 10.0.0.10 的存在。[ 客户端 A (10.0.0.10) ] | | 数据包 [源: 10.0.0.10, 目的: 163.221.120.9] v [ NAT 路由器 (局域网:10.0.0.1 | 公网:202.244.174.37) ] | | 自动改写源 IP 并记录映射表项! | 数据包 [源: 202.244.174.37, 目的: 163.221.120.9] v [ 互联网公网 Web 服务器 (163.221.120.9) ]第二步服务器回包公网→ \rightarrow→私网外网服务器处理完业务回复响应包源 IP163.221.120.9目的 IP202.244.174.37它只能把信寄回给 NAT 路由器的公网 IP响应包顺着互联网送达 NAT 路由器。NAT 路由器查表反向替换路由器查看内部转换表发现这个回包对应的是内网的10.0.0.10。路由器迅速将 IP 首部中的目的地址从202.244.174.37替换回10.0.0.10。路由器将数据包放入局域网客户端 A 顺利接收到数据。整个替换过程对两端的应用程序无论是客户端的浏览器还是服务器的 Nginx/Apache是完全透明的。本讲核心知识自测与面试精选1. 什么是私有 IP 和公网 IP它们的核心区别是什么解析与答案公网 IP全局 IP由互联网管理机构统筹分配在全互联网范围内是全局唯一的可以直接在公网路由器之间进行路由寻址。私有 IP局域网 IP专门保留在家庭、学校、企业等局域网内部使用的保留网段如10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。私有 IP 不需要全局唯一不同的局域网可以重复使用相同的私网网段但在公网上是不可直接路由的出外网前必须经由 NAT 设备转换为公网 IP。2. 简述基础 NAT 设备在转发数据包时是如何修改 IP 首部的解析与答案出站私网到公网NAT 设备截获内网发往外网的数据包将其 IP 首部的“源 IP 地址”从私网 IP 替换为 NAT 设备自身的公网 IP并在内部转换表中记录该映射关系。入站公网到私网当外网服务器的响应数据包返回 NAT 设备时NAT 设备检索转换表将 IP 首部的“目的 IP 地址”从自身的公网 IP 替换回发起请求的内网主机的私网 IP随后转发给内网主机。不过这里藏着一个巨大的疑问如果内网的客户端 A 和客户端 B 同时访问同一个百度服务器外网返回的数据包目的 IP 都是 NAT 路由器的公网 IP路由器该怎么知道这个包到底是给 A 还是给 B 的第 2 讲全寝室共用一个公网 IPNAPT 端口复用机制与 NAT 的致命缺陷在上一讲中我们留出了一个最现实的悬念如果同一个寝室的客户端 A 和客户端 B在同一秒同时打开了同一个网站比如百度服务器163.221.120.9:80路由器把它们都换成了同一个公网 IP。当百度回包时目的 IP 全是路由器的公网 IP路由器凭什么能精准区分哪份网页是给 A 的哪份是给 B 的这一讲我们就来解开现代 NAT 的核心灵魂——NAPT网络地址端口转换。1. 救场英雄NAPT 机制引入端口号的魔法单纯替换 IP 地址的 NAT 叫做“传统 NAT”它要求一个私网 IP 必须独占一个公网 IP这依然无法解决 IP 匮乏的问题。为了让成百上千台内网电脑共用一个公网 IP工程师们把目光投向了传输层的端口号Port升级出了NAPTNetwork Address Port Translation。生活中的形象比喻公司前台收发快递假设你和隔壁工位的张三都在同一栋写字楼同一个局域网只有一个对外通信地址中关村大厦 A 座 1 号。你们俩在同一天各自在京东上买了同款机械键盘。京东发货填写的收件地址都是“北京市中关村大厦 A 座 1 号公网 IP”。但快递单上还有关键信息你的电话分机号是1025端口号张三的分机号是1026端口号。大厦前台NAT 路由器收到这两个一模一样的键盘包裹后看一眼分机号就能准确把包裹送进你的工位而不会和张三的弄混。2. NAPT 转换表与通信全流程推演NAPT 在替换地址时不仅替换 IP 地址还同时替换端口号用私网IP 私网端口⟺ \Longleftrightarrow⟺公网IP 转换后端口建立一对一的双向映射。[ 路由器内部的 NAPT 转换表 ] ----------------------- ----------------------- | 10.0.0.10 : 1025 | | 202.244.174.37 : 1025 | | 163.221.120.9 : 80 | | 163.221.120.9 : 80 | ----------------------- ----------------------- | 10.0.0.11 : 1025 | | 202.244.174.37 : 1026 | -- 端口被改写为 1026 避开冲突! | 163.221.120.9 : 80 | | 163.221.120.9 : 80 | ----------------------- ----------------------- | [ 私网世界 ] | [ 公网世界 ] 客户端 A (10.0.0.10:1025) -----\ | /--- Web 服务器 (163.221.120.9:80) [ NAT 路由器 (202.244.174.37) ] 客户端 B (10.0.0.11:1025) -----/ \--- Web 服务器 (163.221.120.9:80) (两台机器巧合地使用了相同的本地端口 1025)追踪两台机器的数据流转客户端 A 发请求原始五元组[源 10.0.0.10:1025 - 目的 163.221.120.9:80]。路由器改写为[源 202.244.174.37:1025 - 目的 163.221.120.9:80]。客户端 B 发请求正好本地也用了 1025 端口原始五元组[源 10.0.0.11:1025 - 目的 163.221.120.9:80]。路由器发现202.244.174.37的1025端口已经被 A 占用了于是动态挑选了一个空闲端口1026进行改写改写为[源 202.244.174.37:1026 - 目的 163.221.120.9:80]。服务器回包分流服务器回复给202.244.174.37:1025的包→ \rightarrow→路由器查表替换回10.0.0.10:1025交还给客户端 A。服务器回复给202.244.174.37:1026的包→ \rightarrow→路由器查表替换回10.0.0.11:1025交还给客户端 B。3. 表项的生命周期TCP 连接与表项销毁转换表并不是凭空永久存在的它是由路由器动态维护的生成时机当内网主机主动发起 TCP 三次握手或发送 UDP 数据包时路由器内核会动态分配端口并在转换表中新增表项。销毁时机当检测到双方发送FIN或RST断开 TCP 连接后路由器会删除对应的表项释放该公网端口供其他程序使用。如果是 UDP 通信由于没有明确的断开信号路由器会设置一个空闲超时定时器比如 60 秒内无数据流动来自动回收表项。4. 辩证看待NAT/NAPT 技术的致命缺陷NAT 拯救了濒临枯竭的 IPv4但它在本质上是打破了互联网“端到端通信End-to-End”原生设计的补丁技术带来了几个严重的缺陷单向连通性无法从外部主动发起连接如果你在寝室里的电脑上搭建了一个 Web 网站外网的朋友是无法直接访问你的因为路由器内部的转换表是内网主机主动出网时才生成的。当外网的主机主动把数据包发给路由器的公网 IP 时路由器的转换表里根本没有对应的映射记录路由器完全不知道该转发给内网的哪台电脑只能将其直接丢弃。性能与内存开销路由器不仅要频繁修改 IP 首部还要修改 TCP/UDP 首部的端口号并重新计算校验和。维护数万条动态映射表会消耗路由器大量的 CPU 算力和内存空间。高可用容灾脆弱状态丢失转换表全部存放在 NAT 设备的内存中。通信过程中一旦该 NAT 路由器发生异常崩溃或重启即便有备用路由器热备之前所有的映射状态也会全部丢失导致当前所有的 TCP 连接瞬间断开本讲核心知识自测与面试精选1. 什么是 NAPT它与基础 NAT 有什么区别解析与答案基础 NAT 仅对 IP 首部中的 IP 地址进行转换一个私网 IP 需要对应占用一个公网 IP而 NAPT网络地址端口转换利用了传输层的端口号在进行 IP 地址转换的同时对源端口号进行转换与复用。通过私网IP 私网端口与公网IP 公网端口的多对一映射关系NAPT 能够让局域网内的海量设备并发共用极少数甚至单个公网 IP 地址访问外部互联网。2. 为什么部署在 NAT 路由器后面的内网服务器外网用户默认无法直接访问解析与答案NAT 转换表项通常是在内网主机主动向外网发起通信请求时动态创建的。当外部主机主动尝试向 NAT 路由器的公网 IP 发起连接时NAT 设备的转换表中并没有预先存在的映射规则路由器无法判定该连接请求究竟对应内网的哪一台具体主机和端口因此会按照默认安全策略直接丢弃该数据包。到这里我们已经搞清楚了私网设备是如何并发访问外网的也深刻理解了 NAT 带来的“只能出不能进”的单向隔离痛点。既然直接连不进来我们在开发中又该如何实现流量代理、安全隐藏和反向接入第 3 讲身份隐身与流量调度正向代理 vs 反向代理的深度剖析在上一讲中我们学习了工作在网络层和传输层的 NAT/NAPT 技术知道了路由器是如何在底层替换 IP 和端口的。但在实际的软件开发、架构设计和日常上网中我们更频繁接触到的是代理服务器Proxy Server。很多人容易把“代理”和“NAT”搞混也经常分不清“正向代理”和“反向代理”。这一讲我们就用极其接地气的生活比喻把这几个概念彻底扒开讲透。1. 经典生活比喻表姐代购日本尿不湿为了把正向代理和反向代理的本质区别刻在脑子里我们来看一个非常生动的代购故事背景日本某品牌尿不湿很好用产自日本当地的大超市。场景一正向代理帮买家跑腿你自己去日本买尿不湿非常不方便路途遥远、没有签证。但是你有个表姐在日本工作于是你给表姐发微信“姐帮我去超市买包尿不湿寄给我”。表姐收到请求后亲自跑到日本超市买下尿不湿然后通过国际快递寄给你。视角分析在日本超市目标服务器的眼里来买东西的真正顾客是你的表姐超市根本不知道大洋彼岸的你的存在。结论你的表姐就是“正向代理”——她站在客户端这一边替客户端去访问外部世界帮客户端隐藏了真实身份。场景二反向代理帮卖家屯货接客后来国内找你表姐买尿不湿的亲戚朋友实在太多了高并发访问。表姐天天跑超市累得够呛她一琢磨干脆直接从各大供货超市批量批发一大批尿不湿整整齐齐屯在自己家里建立本地缓存。此时国内任何人找她买她直接从家里仓库打包发货根本不需要临时跑一趟超市。如果家里缺货了她再自己决定去哪家进货超市调货负载均衡。视角分析在国内买家的眼里大家都以为表姐自己就是个“尿不湿大专卖店”服务端买家完全不知道表姐背后的真实进货超市到底是哪一家。结论你的表姐变成了“反向代理”——她站在服务端这一边替真正的业务服务器挡在最前线对外提供统一入口隐藏了后端的真实服务器集群。2. 正向代理Forward Proxy客户端的“全能跳板”定义正向代理位于客户端与目标服务器之间它代表客户端向目标服务器发起请求。[ 局域网/内网客户端 ] |-- 客户端 A --\ |-- 客户端 B --- [ 正向代理服务器 ] (跨越公网) [ 目标服务器 (如 www.qq.com) ] |-- 客户端 C --/ (如 Nginx/Squid)工作流程客户端在自己的浏览器或操作系统中主动配置代理服务器的 IP 和端口。客户端想要访问目标网站时先将请求发送给正向代理服务器。正向代理服务器根据预设规则如权限审查、缓存查找代替客户端把请求转发给目标服务器。目标服务器将响应返回给正向代理正向代理再转交回客户端。核心功能与应用场景隐藏客户端真实 IP保护隐私/绕过反爬目标服务器只能记录到正向代理的 IP无法追踪到发起请求的真正主机。爬虫程序常利用代理 IP 池来规避网站的封禁。突破访问限制翻墙/海外加速/跨网访问客户端直接访问海外资源可能受阻但通过一台能自由访问外网的代理服务器进行中转即可顺畅拉取数据。企业与公共网络管理内容过滤与审计公司或学校可以在出口架设正向代理限制员工在工作时间刷娱乐视频或访问恶意钓鱼网站保护内部网络安全。客户端侧缓存加速代理服务器若已经缓存了常用文件同一内网的其他人再次请求时代理直接秒级返回无需再耗费公网流量。3. 反向代理Reverse Proxy服务端的“超级前台与保护伞”定义反向代理位于客户端与后端业务服务器集群之间它作为 Web 服务器的前置网关统一接收公网的所有请求再按规则分发给内网真实的后端服务器。--- 内网业务服务器 1 (Web 服务) | [ 公网海量用户 ] [ 反向代理服务器 (Nginx) ] --- 内网业务服务器 2 (Web 服务) (公网唯一入口 IP) | --- 内网业务服务器 3 (Web 服务)核心功能与架构优势负载均衡Load Balancing单台业务服务器承受不住百万级高并发。反向代理可以按照轮询、加权权重、IP 哈希等算法将海量请求均匀平摊到后端的几十台真实服务器上大幅提升系统吞吐量与可用性。保护与隐藏后端真实服务器安全防护后端真实服务器全部部署在内网私有 IP 上不对公网开放。公网用户只能看到反向代理的公网 IP。黑客发起 DDoS 洪水攻击或渗透探测时只能打到反向代理上反向代理通过配置 WAF 防火墙和流量黑名单将危险流量过滤拦截保护了核心数据资产。动静分离与缓存加速将 HTML 、CSS、JS、图片等静态资源直接部署在反向代理服务器本地静态请求由反向代理秒级直出只有复杂的动态计算请求如支付下单、登录查询才转发给后端 Java/C 业务集群处理。CDN内容分发网络的底层基石遍布全国各地的 CDN 节点其本质就是采用了分布式的反向代理缓存技术让用户就近获取静态资源。4. 深度对比NAT 设备 vs 代理服务器初学者经常发问“NAT 也在中转流量代理也在中转流量它们俩到底有什么本质区别”我们用一张表格从底层到应用进行全方位对比对比维度NAT 设备 (网络地址转换)代理服务器 (正向 / 反向代理)主要使命解决IPv4 地址匮乏问题实现私网出公网解决业务调度、缓存加速、访问控制、安全防护工作层级网络层 / 传输层直接修改 IP 首部与端口通常工作在应用层如 HTTP/HTTPS 协议解析实现形态通常集成在路由器、防火墙等底层网络硬件芯片中通常是运行在操作系统上的应用软件程序如 Nginx内容感知完全不关心业务内容只管把数据包的 IP/端口机械改写并转走深度理解业务报文能解析 HTTP 请求头、重写 URL、分析 Cookie部署范围只能部署在局域网出口网关处极度灵活可部署在局域网、广域网云服务器或跨网中转节点本讲核心知识自测与面试精选1. 请用一两句话准确概括正向代理与反向代理的核心区别。解析与答案正向代理“代理的是客户端”架设在客户端一侧用于隐藏客户端真实身份、突破网络限制或实现出网权限管理服务端对真正的客户端是无感知的。反向代理“代理的是服务端”架设在服务端一侧作为外部访问的统一入口用于隐藏后端真实服务器集群、提供负载均衡、安全防护与静态缓存加速客户端对后端的具体业务服务器是无感知的。2. 为什么在现代大型大型高并发 Web 架构中普遍采用 Nginx 反向代理配合后端应用服务器解析与答案负载均衡与高可用反向代理能够根据调度算法将突发海量流量分发到后端多台服务器上并在某台节点宕机时自动摘除保证服务不中断。安全隔离隐藏了内网业务服务器的真实 IP降低了后端核心数据库和业务机被公网直接扫描和攻击的风险。动静分离与性能提升由反向代理直接承载静态文件缓存和 SSL 证书解密释放了后端业务服务器的 CPU 算力让后端专注于动态业务逻辑的计算。到这里关于正向代理、反向代理以及代理与 NAT 的本质差异我们就全部梳理通透了。接下来我们将迎来最后一讲——第 4 讲打通内网的任督二脉NAT 穿透原理与 FRP 打洞实战推演看看我们如何借助公网云服务器彻底突破 NAT 的物理阻隔在外网自由 SSH 访问家里的 Linux 机器第 4 讲打通内网的任督二脉NAT 穿透原理与 FRP 打洞实战推演在第 2 讲中我们提到了 NAT 的一个致命限制单向连通性。NAT 转换表项只有在内网设备主动往外发包时才会生成外网设备直接向 NAT 路由器发包会被无情丢弃。这在日常生活中会带来一个非常痛苦的经典场景你在学校或公司写代码突然想通过 SSH 登录家里的一台 Linux 电脑调取项目文件。但是家里的 Linux 电脑藏在家用路由器的 NAT 私网后面根本没有独立的公网 IP。学校的电脑直接输入家里的私网 IP如192.168.1.100:22完全无法连接。我们该如何打破这堵 NAT 之墙这就是本讲要彻底解决的核心主题内网穿透与打洞技术NAT Traversal。1. 核心破局思路引入具备公网 IP 的“第三方信使”既然外网无法主动向内网发起连接而内网可以自由主动向外网发起连接那么最自然、最稳定的解决方案就是找一个双方都能连上的公网中转服务器让内网设备“主动向外投靠”建立一条反向隧道。生活中的形象比喻你学校电脑想给深山老林里家庭内网的朋友寄信但你不知道朋友的准确门牌号山庄保安NAT 路由器也不允许陌生人送信进去。朋友家里的 Linux 机器天天主动跑到山下的公立邮局拥有公网 IP 的云服务器在邮局租了一个储物柜绑定指定端口并告诉邮局工作人员“如果有人往这个 8888 号储物柜塞信件请立刻顺着我这条开好的专线转交给我”。结果你只需要把信件寄到公立邮局的 8888 号柜子邮局就会自动顺着朋友建立好的通道把信件准确送到朋友手上。2. 内网穿透神器认识 FRP 的工作架构在开源世界中应用最广泛的内网穿透工具之一就是FRPFast Reverse Proxy。FRP 分为两个核心模块frpsFRP Server运行在拥有公网全局 IP 的云服务器上负责监听端口并转发公网用户的流量。frpcFRP Client运行在内网设备如家里的 Linux 主机上负责在本地服务与远端云服务器之间建立一条持久的长连接隧道。----------------------- ----------------------------- | 外部访问端 (如公司) | | 拥有公网 IP 的云服务器 | | | | | | [ 开发者电脑 ] | 访问 8888 端口 | [ frps 监听服务: 8888 ] | ----------------------- ----------------------------- ^ | (底层持久 TCP 长连接隧道) v ------------------------------------------------------------------------------- | 家庭 / 宿舍内部局域网 (受 NAT 保护的私网环境) | | | | [ 家用 NAT 路由器 ] | | | | | v (转发到本地内网端口) | | [ 家里的 Linux 电脑 ] | | |-- frpc 客户端 (主动连出公网 frps, 将本地 22 端口映射到远端 8888 端口) | | \-- SSH 服务进程 (监听本地 22 端口) | -------------------------------------------------------------------------------3. 步步推演FRP 内网打洞全流程我们以“在外网通过 SSH 访问家里 Linux 主机的 22 号端口”为例拆解全套运作步骤步骤一内网主动建桥建立持久控制通道在公网云服务器上启动frps配置其监听对外访问端口比如8888端口以及内部控制端口。在家里的 Linux 机器上启动frpc客户端。关键动作家里的 Linux 机器主动发起一条 TCP 连接穿透本地家用路由器连接到公网服务器的frps服务上。frpc告诉frps“我已经和你连上了请把云服务器上8888端口收到的所有流量统统转给我本地的22号端口SSH 服务”。此时家庭路由器内部自然生成了一条出网 NAT 转换记录允许双方维持这条持久的 TCP 双向通道。步骤二外部用户借道访问流量无缝中转你在公司或学校打开终端直接输入命令连接公网云服务器的 8888 端口ssh-p8888username云服务器的公网IP云服务器上的frps接收到了来自你公司电脑的 SSH 握手连接请求。frps查找内部映射关系发现8888端口对应的是家里 Linux 机器注册的通道。frps顺着步骤一中建立好的持久 TCP 隧道把你的 SSH 数据包原汁原味地塞进隧道传回给家里的frpc客户端。家里的frpc收到数据包后直接在本地以127.0.0.1:22转发给本机的 SSH 守护进程sshd。本地 SSH 处理完响应后再原路通过隧道交由云服务器回传给你的公司电脑。整个过程中公司电脑以为自己连的是公网云服务器家里的 SSH 服务以为连接来自本机通过一台公网服务器的反向搭桥原本被 NAT 彻底阻断的入站访问被完美打通4. 计算机网络全栈大串联与总结经过我们这一系列的深度剖析计算机网络各层之间的核心分工与协同机制已经全部拼装完整应用层满足日常业务需求如 HTTP、DNS、SSH是我们编写代码、设计自定义协议的主战场。传输层负责端到端的可靠传输。UDP 轻量快速但无连接TCP 通过三次握手、四次挥手、确认应答、超时重传、滑动窗口、流量控制与 MSS 协商在不可靠的网络中实现了绝对可靠与高效传输。网络层负责宏观路径规划与寻址IP 协议。面对 IPv4 地址不足的物理现实通过网段划分、私有 IP 与 NAT/NAPT 转换技术实现了海量设备的公网互联。数据链路层负责微观上相邻节点Hop-by-Hop之间的具体搬运以太网帧、MAC 门牌号、ARP 动态寻址与 MTU 限重约束。运维与架构进阶面对网络隔离与性能瓶颈借助正向代理、反向代理负载均衡/动静分离以及 FRP 内网穿透技术灵活调度全网流量。本讲核心知识自测与面试精选1. 什么是内网穿透为什么传统的公网客户端无法直接连接内网主机解析与答案内网穿透是指通过特定技术手段使处于私有局域网内部、没有独立公网 IP 的设备能够被外部互联网的主机主动访问。传统方式无法直接访问的原因在于内网主机与公网之间存在 NAT/防火墙设备NAT 转换表项通常仅在内网主机主动向外发包时动态生成。当外网主机主动发起连接请求时NAT 设备无法在表中检索到对应内网设备的映射规则出于默认安全策略会将外部发来的入站数据包直接丢弃。2. 简述基于反向代理如 FRP实现内网穿透的核心步骤。解析与答案启动中转服务在具有公网 IP 的云服务器上部署服务端程序frps监听特定的对外业务端口如 8888与内部控制端口。内网客户端主动建连内网主机运行客户端程序frpc主动向公网 frps 发起出站请求建立持久的 TCP 控制长连接并在服务端注册本地端口如 SSH 22 端口与远端公网端口的映射规则。外部请求到达外部用户向公网云服务器的映射端口8888发起访问请求。隧道中继与本地转发公网 frps 接收请求后沿着预先建立好的持久 TCP 隧道将流量中继转发给内网 frpcfrpc 再将流量交付给本地的对应服务进程如本地 22 端口从而完成双向通信闭环。