前言

前幾天在一臺具有公網IP的 vultr 雲伺服器上實現了 frp 內網穿透（參考連結），可以從寢室 ssh 登入到教研室的伺服器，但是由於 vultr 的雲伺服器位於國外的節點，連線速度太慢了，導致連線 ssh 登入的體驗很差。今天又弄了一臺阿里雲的雲伺服器 ECS，所以現在來介紹如何在阿里雲上實現 frp 內網穿透。

配置 ssh 訪問內網機器

之前使用的 vultr 的VPS是 CentOS 系統的，這次阿里雲伺服器是 Ubuntu 的作業系統，但其實不同作業系統的雲伺服器在使用 frp 時操作都是一樣的，就是下載，配置，執行。可能有區別的地方就是防火牆相關的配置，不同雲服務廠商的映象不同可能也有一些差別。下面來說明在阿里雲的公網伺服器的 frp 實現步驟：

下載

在阿里雲的公網伺服器和內網機器上都要下載安裝包並解壓：

$ wget https://github.com/fatedier/frp/releases/download/v0.21.0/frp_0.21.0_linux_amd64.tar.gz
$ tar -xzvf frp_0.21.0_linux_amd64.tar.gz

解壓之後的資料夾中既包含了服務端的檔案又包括客戶端的檔案，所以可以分別在兩個機器上刪除掉不必要的檔案，也可以不刪，都沒有影響。強迫症還是來刪一下，在解壓後的資料夾中：

• 在公網伺服器上刪除客戶端相關的檔案，只保留一下兩個檔案：

  frps  frps.ini
  

• 在內網機器上刪除服務端相關的檔案，只保留以下兩個檔案：

  frpc   frpc.ini
  

配置

就是需要修改配置檔案 frps.ini 及 frpc.ini。

• 修改公網伺服器上的服務端配置檔案 frps.ini，如下：

  [common]
  bind_port = 7000  #frp服務端埠（必須）
  

• 修改內網目標主機的客戶端配置檔案 frpc.ini，如下：

  [common]
  server_addr = xxx.xxx.xxx.xxx   #frp服務端地址，必須是公網ip或者域名，這裡假設為xxx.xxx.xxx.xxx
  server_port = 7000      #frp服務端埠，即填寫服務端配置中的 bind_port
  
  [ssh]
  type = tcp              #連線型別，填tcp或udp
  local_ip = 127.0.0.1    #填127.0.0.1或內網ip都可以
  local_port = 22         #需要轉發到的埠，ssh埠是22
  remote_port = 6000      #frp服務端的遠端監聽埠，即你訪問服務端的remote_port就相當於訪
                          #問客戶端的 local_port，如果填0則會隨機分配一個埠
   
  

執行

• 在公網伺服器上執行服務端程式：

  $ nohup ./frps -c frps.ini &
  

  檢視 nohup.out 的資訊，success

  $ tail -f nohup.out
  2018/09/17 21:34:01 [I] [service.go:130] frps tcp listen on 0.0.0.0:7000
  2018/09/17 21:34:01 [I] [root.go:207] Start frps success
  2018/09/17 22:06:02 [I] [service.go:319] client login info: ip [125.71.229.32:60516] version [0.21.0] hostname [] os [linux] arch [amd64]
  2018/09/17 22:06:02 [I] [proxy.go:217] [7940291c148c2fca] [ssh] tcp proxy listen port [6000]
  2018/09/17 22:06:02 [I] [control.go:335] [7940291c148c2fca] new proxy [ssh] success
  

• 在內網目標主機上執行客戶端程式：

  $ nohup ./frpc -c frpc.ini &
  

  檢視 nohup.out 的資訊，success

  $ tail -f nohup.out
  2018/09/17 22:42:22 [I] [proxy_manager.go:300] proxy removed: []
  2018/09/17 22:42:22 [I] [proxy_manager.go:310] proxy added: [ssh1]
  2018/09/17 22:42:22 [I] [proxy_manager.go:333] visitor removed: []
  2018/09/17 22:42:22 [I] [proxy_manager.go:342] visitor added: []
  2018/09/17 22:42:23 [I] [control.go:246] [0624b332c3465118] login to server success, get run id [0624b332c3465118], server udp port [0]
  2018/09/17 22:42:23 [I] [control.go:169] [0624b332c3465118] [ssh1] start proxy success
  

配置多個內網主機

錯誤的多客戶端配置

使用一臺阿里雲的公網伺服器，我們可以配置很多內網機器的 frp 內網穿透，公網伺服器上只需要按照上述的配置一次即可，但是內網機器的配置稍有不同，如果使用了一樣的配置則後新增的內網機器是無法連線上公網伺服器的。這裡假設另一臺內網機器2的 frpc.ini 配置如下，來說明會遇到的問題：

$ vi frpc.ini
[common]
server_addr = xxx.xxx.xxx.xxx  <==這裡還是按照上面的假設，公網伺服器的ip為xxx.xxx.xxx.xxx
server_port = 7000

[ssh]
type = tcp 
local_ip = 127.0.0.1
local_port = 22
remote_port = 6001     <==remote_port設定為另一個值

兩個內網主機的配置除了 remote_port 不一樣之外，都是一樣的。但是在內網機器2上執行 frpc 後，公網伺服器的 nohup.out 中會記錄一下的錯誤：

[W] [control.go:332] [280d36891a6ae0c7] new proxy [ssh] error: proxy name [ssh] is already in use

後來發現，frp 中是通過 [ssh] 這個名字來區分不同客戶端的，所以不同的客戶端要配置成不同的名字。

正確的多客戶端配置

內網機器1和內網機器2的配置應該區分如下：

內網機器1：
[ssh]                      <==不同點
type = tcp 
local_ip = 127.0.0.1
local_port = 22
remote_port = 6000         <==不同點

內網機器2：
[ssh1]                     <==不同點
type = tcp 
local_ip = 127.0.0.1
local_port = 22
remote_port = 6001         <==不同點

在兩個內網機器上分別執行 frpc 客戶端程式後，一般就可以通過以下的方法 ssh 登入：

內網機器1：
$ ssh -p 6000 [email protected]_addr

內網機器2：
$ ssh -p 6001 [email protected]_addr

以上引數中，server_addr是公網伺服器的公網ip；user_name1、user_name2 分別是內網機器1、2的使用者名稱，之後分別使用登入密碼就可以登入。

connection timed out 解決

但是有時候會發現按照以上的配置還是使 frp 的服務端與客戶端建立連線，在客戶端上會出現以下錯誤：

2018/09/17 22:02:23 [W] [control.go:113] login to server failed: dial tcp xxx.xxx.xxx.xxx:7000: connect: connection timed out
dial tcp xxx.xxx.xxx.xxx:7000: connect: connection timed out

仔細檢查了一下雲伺服器上面的防火牆設定，發現並沒有任何過濾規則，那應該不是防火牆的問題

# iptables -vnL
Chain INPUT (policy ACCEPT 46165 packets, 28M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 42223 packets, 3001K bytes)
 pkts bytes target     prot opt in     out     source               destination 

然後又仔細想了一下我以前在做關於 OpenStack 的專案中也碰到了類似的問題，就是建立了雲實例，發現無法通過 ssh 來登入，就是因為 OpenStack 有安全組規則相關的設定。

想到了這裡就有一種熟悉的感覺，還是原來的配方，hahaha。。。

登入到阿里雲對應雲伺服器的管理控制檯，如下找到左上方的本例項安全組：

然後點選右上角的配置規則：

再點選右上角的新增安全組規則：

最後在新增安全組規則的介面新增相應的規則：

主要有兩個配置項，埠範圍和授權物件

• 埠範圍就是你要開放的埠的範圍，需要將 server_port 和 remote_port 都新增進去，可以分成兩條規則分別新增；
• 授權物件是你要授權的物件，一般設為 0.0.0.0/0 表示允許所有IP的訪問。

以上就是針對阿里雲的雲伺服器的安全組設定，其他廠商如果有安全組規則也應該是類似的。