内网穿透中转机的配置

家里没有公网 IP，服务又要从外面访问，中转机就是那台替你把流量搬进搬出的机器。它做的事情简单，配置的关键只有两处：带宽够不够，暴露面收得够不够小。 带宽与流量怎么估 中转机的上行带宽就是外部访问家里服务的速度上限。远程桌面 1080P 画面流畅需要 5 到 10 Mbps，文件传输看文件大小，自托管相册看图每次几 MB。日常自用场景，5 Mbps 够用，多人共用或经常传大文件选 10 Mbps 以上更从容。流量计费模式要留意月累计：一路远程桌面每天用 4 小时，一个月流量约 50 到 80 GB，超出套餐后的单价会明显上浮。选固定带宽机型可以把成本锁死，顺云的高防云服务器 S2 是常见的入门选择，国内 BGP 多线接入，跨运营商访问家里服务的延迟更可控。 安全组必须收敛 中转机天然暴露在公网，安全组（云平台层面的防火墙规则）要按最小化原则配：只放行业务端口，SSH 改密钥登录并限制来源 IP；转发服务监听 127.0.0.1，由中转机的反向代理统一对外；再叠一层访问认证，个人服务也不要裸奔在公网。每周看一眼登录日志，出现陌生来源 IP 及时封禁。登录失败记录用 lastb 一条命令看，输出清一色陌生来源就说明扫描已经找上门；fail2ban 同样适用于中转机，几轮自动封禁之后，日志会安静很多。 隧道工具的选择 基于 SSH 的端口转发零成本，适合临时救急；长期服务选带加密和自动重连机制的隧道工具，配置成 systemd 服务，开机自启、断线自动重连，这才是中转该有的形态。隧道两端各配一个健康检查，断了能第一时间知道。隧道方案分两端：服务端跑在中转机上只开一个监听端口，客户端在家里设备上主动向外建连，家里的路由器不用做任何端口映射，暴露面比传统端口转发小得多。 中转机本身负载很轻，1 核 2G 足够，钱应该花在带宽和防扫描上。隧道配好自动重连，再加一条到家的告警，整套方案就算配齐了。