第二部分：关键技术领域的开源实践【内网穿透FRP】

frp · 浏览次数 : 18

小编点评

FRP（Fast Reverse Proxy）是一种高性能的内网穿透工具，适用于多种协议，如TCP、UDP、HTTP、HTTPS等。它可以帮助企业将内网服务通过具有公网IP节点的中转暴露到公网，从而实现以下优势： 1. 远程办公和远程桌面：允许员工从外部网络远程接入企业内部的桌面系统，提高灵活性和效率。 2. 便于IT部门进行远程维护和故障排除，无需物理访问设备。 3. 远程服务器管理：使管理员能够通过公网访问位于企业内网的服务器，进行配置、更新和监控。 4. 支持对云服务器的管理，即使它们位于具有私有IP地址的VPC中。 5. 企业服务的公网访问：允许企业内部的Web服务、数据库、API接口等对外界开放。 6. 视频监控和安防：实现对企业内部安装的视频监控系统的远程访问，便于实时监控和安全管理。 7. 物联网(IoT)设备管理：允许远程管理和监控位于企业内部网络中的IoT设备。 8. 开发测试环境的远程访问：开发人员可以远程访问位于企业内网的开发测试服务器，进行代码调试和功能测试。 9. 支持跨地域的开发团队协作，提高开发效率。 10. 企业资源规划(ERP)和CRM系统访问：提供外部用户对内部ERP或CRM系统的安全访问。 11. 云服务扩展：帮助连接私有云和公有云资源，实现更灵活的资源调度和管理。 12. 企业内部通信和协作工具：使企业内部的通信平台如电话会议、视频会议系统可以被外部参与者访问。实施FRP时，应考虑网络安全策略，确保只有授权用户可以访问特定的服务。通过以上步骤，企业可以在不改变现有网络结构的情况下，提升网络的可访问性和灵活性，同时保持较高的安全性标准。

正文

FRP简介

FRP（Fast Reverse Proxy）作为一种高性能的内网穿透工具，支持 TCP、UDP、HTTP、HTTPS 等多种协议。可以将内网服务以安全、便捷的方式通过具有公网IP节点（云服务器）的中转暴露到公网。

为什么使用 FRP ？

以下是一些常见的企业级应用场景：

远程办公和远程桌面
- 允许员工从外部网络远程接入企业内部的桌面系统进行工作，提高灵活性和效率，尤其是在远程工作成为常态的情况下。
- 便于IT部门进行远程维护和故障排除，无需物理访问设备。
远程服务器管理
- 使管理员能够通过公网访问位于企业内网的服务器，进行配置、更新和监控。
- 支持对云服务器的管理，即使它们位于具有私有IP地址的VPC（Virtual Private Cloud）中。
企业服务的公网访问
- 允许企业内部的Web服务、数据库、API接口等对外界开放，而无需企业拥有固定的公网IP。
- 使得客户、合作伙伴或外部应用程序可以访问这些内部服务，促进业务合作和数据交换。
视频监控和安防
- 实现对企业内部安装的视频监控系统的远程访问，便于实时监控和安全管理。
- 对于分布式的公司，总部可以远程监控各个分部的安保情况。
物联网(IoT)设备管理
- 允许远程管理和监控位于企业内部网络中的IoT设备，如智能传感器、自动化设备等。
开发测试环境的远程访问
- 开发人员可以远程访问位于企业内网的开发测试服务器，进行代码调试和功能测试。
- 支持跨地域的开发团队协作，提高开发效率。
企业资源规划(ERP)和CRM系统访问
- 提供外部用户对内部ERP或CRM系统的安全访问，例如供应商或销售团队成员。
云服务扩展
- 当企业使用混合云架构时，FRP可以帮助连接私有云和公有云资源，实现更灵活的资源调度和管理。
企业内部通信和协作工具
- 使企业内部的通信平台如电话会议、视频会议系统可以被外部参与者访问。

通过使用FRP，企业能够在不改变现有网络结构的情况下，提升网络的可访问性和灵活性，同时保持较高的安全性标准。然而，实施FRP时也应考虑网络安全策略，确保只有授权用户可以访问特定的服务。
下面重点讲解FRP在企业中的实际应用，分别从服务端和客户端阐述：

FRP开源实践应用【企业案例】

在Linux系统上安装FRP的基本步骤：

步骤1：下载FRP

首先，你需要下载适合你操作系统版本的FRP二进制文件。假设你正在使用一个基于Linux的系统，你可以使用wget或curl来下载。如果你的系统上还没有wget，需要先安装：

sudo apt-get update
sudo apt-get install wget

对于基于RPM的系统（如CentOS），可以使用：

sudo yum install wget

然后下载最新版本的FRP（以2024年为例，目前是v0.59.1，具体版本号可能不同）：

wget https://github.com/fatedier/frp/releases/download/v0.X.Y/frp_0.X.Y_linux_amd64.tar.gz

将v0.X.Y替换为实际的版本号。

步骤2：解压FRP

使用tar命令解压下载的文件：

tar -zxvf frp_0.59.0_linux_amd64.tar.gz

步骤3：移动文件

将解压后的文件移动到一个合适的目录，比如/opt/frp_0.59.0_linux_amd64：
解压目录如下：

步骤4：创建配置文件

FRP使用.toml格式的配置文件。这些文件需要根据你的需求进行适当的配置。

服务端配置(编辑frps.toml文件)

服务端一般放置在有公网IP的服务器上，通常为云服务器（腾讯，华为、阿里云服务器）

bindPort = 7000
vhostHTTPPort = 8080
#vhostHTTPSPort = 443
auth.method = "token"
auth.token = "token123456_abcdefghijklmn=="
webServer.port = 7500
webServer.user = "admin"
webServer.password = "admin.com"
webServer.pprofEnable = false

客户端配置(编辑frpc.toml文件)

下面是tcp ,http的配置方法,特别要注意云服务器，例如阿里云要开放remotePort端口
内网服务器：通常企业的开发服务器或测试服务器

serverAddr = "81.71.44.34"
serverPort = 7000
auth.method = "token"
auth.token = "token123456_abcdefghijklmn=="
webServer.addr = "0.0.0.0"
webServer.port = 7500
webServer.user = "admin"
webServer.password = "admin.com"
webServer.pprofEnable = false

[[proxies]]
name = "ssh"
type = "tcp"
localIP = "127.0.0.1"
localPort = 22
remotePort = 2212

[[proxies]]
name = "mysql"
type = "tcp"
localIP = "127.0.0.1"
localPort = 3309
remotePort = 33090

[[proxies]]
name = "redis"
type = "tcp"
localIP = "127.0.0.1"
localPort = 6379
remotePort = 33012


[[proxies]]
name = "git"
type = "http"
localIP = "192.168.0.100"
localPort = 82
customDomains = ["git.***.com"]

[[proxies]]
name = "jenkins"
type = "http"
localIP = "192.168.0.100"
localPort = 8088
customDomains = ["jenkins.***.com"]
# tls
#transport.tls.certFile = "/etc/frp/ssl/client.crt"
#transport.tls.keyFile = "/etc/frp/ssl/client.key"
#transport.tls.trustedCaFile = "/etc/frp/ssl/ca.crt"

步骤5：启动服务

使用nohup或者screen等工具来后台运行FRP服务，或者你可以创建一个systemd服务单元文件来管理服务。例如，创建一个名为frps.service的文件在/etc/systemd/system目录下，并在其中定义服务，实现开机自启。
内容如下：

[Unit]
Description=Frp Server
After=syslog.target network.target
Wants=network.target

[Service]
Type=simple
ExecStart=/opt/frp_0.59.0_linux_amd64/frps -c /opt/frp_0.59.0_linux_amd64/frps.toml
ExecStop=/usr/bin/killall frps
RestartSec=1min
KillMode=control-group
Restart=always

[Install]
WantedBy=multi-user.target

步骤6：配置防火墙

如果你的服务器有防火墙，确保打开FRP所需的端口，通常是7000和7500。

#内网服务器开放端口方法
firewall-cmd --add-port=3309/tcp --zone=public  --permanent
#远程云服务器开放端口
***例如阿里云要开放remotePort端口：安全组，开放端口即可***

如果使用安全证书https，最好安装一个nginx代理

新建一个/usr/local/openresty/nginx/conf/apps/frp.conf，内容如下：

 location / {
    client_max_body_size    1000m;
    proxy_pass http://127.0.0.1:8080;
    proxy_http_version 1.1;
    proxy_read_timeout 300;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Real-PORT $remote_port;
}

购买云服务器厂商，申请免费3个月的数字证书，放置/usr/local/openresty/nginx/cert目录下
修改nginx.conf文件,加入如下内容

server {
        listen 443 ssl;
        server_name www.***.com;
        root html;
        index swagger-ui.html index.html index.htm;
        ssl_certificate      ../cert/www.***.com.pem;
        ssl_certificate_key  ../cert/www.***.com.key;
        ssl_session_timeout 5m;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers on;
        proxy_intercept_errors on;
        charset utf-8;
        #frp穿透到内网
        include apps/frp.conf;
    }

步骤7：测试连接

在浏览器地址栏输入：https://www.***.com 进行测试

确保一切设置无误后，从客户端尝试连接到服务端，检查是否可以通过公网访问到内网服务。
请注意，上述步骤是基于Linux系统的一般指导。具体版本的FRP可能需要不同的配置选项，因此请参考FRP的官方文档获取最准确的安装和配置指南。此外，安全是关键，确保只允许信任的来源访问你的内网服务。