什么是内网穿透

Table of Contents

一、内网穿透出现的缘由

在日常网络环境里，企业、机构乃至个人用户常常会搭建内部网络，也就是内网。内网用于内部资源共享、办公协作等，承载着大量敏感信息与关键业务数据。然而，内网中的设备默认处于相对封闭状态，外部网络无法直接访问。这就导致了一系列问题，比如企业员工出差在外，需要远程访问公司内网的办公系统、文件服务器以处理紧急事务；或是智能家居设备，安装在家中的摄像头、智能家电等，用户在外想要实时查看和操控，却被内网隔绝在外。简单来说，内网穿透技术的诞生，就是为了解决内网资源与外部访问需求之间的矛盾，打破网络边界限制，实现安全、便捷的跨网交互。

二、内网穿透的实现机制

内网穿透的核心在于，在内外网之间构建一条安全通道，使得外部网络请求能够精准找到内网中的目标服务或设备。

首先，网络地址转换（NAT）技术是内网与外网隔离的关键。大多数内网使用私有 IP 地址段，这些地址在公网上不可直接路由。当内网设备访问外网时，NAT 设备（如路由器）会将内网设备的私有 IP 地址及端口，转换为公网 IP 地址及一个动态分配的端口，使得外网能够响应请求并返回数据，实现内网设备 “单向” 访问外网。但这也造成了外网主动访问内网设备的困难，因为内网设备的私有 IP 对外网不可见，内网穿透技术就是要突破这一限制。

常用的协议

  • 在建立穿透通道时，传输控制协议（TCP）常被用作基础。TCP 以其可靠的连接特性，通过三次握手建立稳定连接，保证数据有序传输，适用于对数据准确性要求高的场景，如文件传输、数据库访问等内网穿透应用。但 TCP 存在握手开销大、传输延迟相对较高的问题，尤其在网络状况不佳时，性能会受影响。

  • 与之相对的用户数据报协议（UDP），虽然不保证数据传输的可靠性，但具有传输速度快、开销小的优势。一些内网穿透工具利用 UDP 实现快速的信令交互，如初始连接请求等，后续再结合其他可靠机制保障关键数据传输，以平衡效率与可靠性。

  • 近年来新兴的 QUIC 协议融合了 TCP 的可靠性与 UDP 的高效性。它基于 UDP 实现，在应用层模拟 TCP 的连接管理、拥塞控制等功能，同时通过加密和多路复用技术，大大提升传输性能，减少连接建立延迟，为内网穿透提供了更优的底层传输支持，适配实时性要求高且对丢包有一定容忍度的场景，像实时音视频通话穿透内网访问。

  • KCP 协议则专注于优化传输速度与实时性，它通过改进 UDP 协议，采用快速重传、前向纠错等算法，在高延迟、高丢包的网络环境下，仍能保障数据快速且准确地传输，常用于对实时性要求苛刻的游戏内网穿透场景。

  • Websocket 协议基于 HTTP 协议升级而来，能在单个 TCP 连接上进行全双工通信。在内网穿透场景中，Websocket 使得浏览器端可以轻松与内网服务器建立持久连接，实时推送数据，广泛应用于网页端远程控制内网设备，如在线协同办公软件穿透内网访问企业内部文档服务器。

依赖服务器的穿透方式

  • Ngrok、FRP 等内网穿透工具：它们都是由服务端和客户端组成。在内网环境中部署客户端，将需要穿透的内网服务端口等信息配置好，客户端与公网的服务端建立连接。服务端运行在具有公网 IP 的服务器上，接收到外部网络请求后，依据事先配置的端口映射规则，识别出对应的内网客户端及目标服务端口，把请求精准“投递”到内网，响应数据按相反路径返回。
  • VPN：VPN 技术从更宏观的层面实现内网穿透效果。它创建一个虚拟的专用网络，将内网与外网通过加密隧道连接起来，用户通过连接 VPN 服务器，获得一个内网可识别的虚拟 IP 地址，仿佛直接接入内网，访问内网资源。

不依赖服务器的穿透方式

  • 使用P2P技术：P2P 旨在让内网中的节点直接与外网节点建立连接，无需依赖中央服务器中转全部数据。它利用内网节点之间的相互协作，通过一些打洞技术，如 UDP 打洞，尝试让不同内网的节点直接穿透 NAT 设备建立连接，实现数据直传，减少服务器负载与传输延迟，但 P2P 面临复杂网络环境下打洞成功率、防火墙限制等诸多挑战，在一些简单的文件共享、小型即时通讯穿透场景中有优势。同时，节点需要安装有支持P2P的工具软件，所以这不适用于对外发布公开服务。

  • 利用路由器功能：很多家庭路由器都提供了端口映射功能，通过端口映射，可以将路由器外部的公网IP地址与内网LAN口的IP地址绑定，从而实现内网穿透的目的。还可以使用UPnP（Universal Plug and Play）协议，它允许设备在局域网中发现并相互连接，可实现自动配置内部网络的编址和端口映射，从而使得外网可以访问到内部服务。但是这种方式没有解决IP地址变化的问题。

  • 动态域名解析（DDNS）：动态域名解析是一种通过将动态变化的IP地址映射到固定域名的方法，解决了公网IP变化频繁的问题。原理很简单，就是路由器或者NAS在监测到IP变化之后，调用域名服务商的API更新域名绑定的IP。

  • 利用IPv6远程访问：利用IPv6网络特性也可以实现远程访问，由于IPv6地址不用NAT（网络地址转换），连接配置相对简单，但要确保使用的设备都支持IPv6。

三、NAS的内网穿透

了解完内网穿透的原理之后，我们现在就很明确NAS是如何做内网穿透的了。NAS的提供商内置了内网穿透服务，要么是NAS硬件支持DDNS，要么是NAS系统自带软件，然后通过他们的服务器做数据转发，这必然就涉及到一些问题：

  1. 安全隐私问题，我们的数据是否如提供商所保证的那样是加密安全的
  2. 带宽问题，提供商提供的服务器带宽是否会一直免费够用，随着用户量的增加，会不会收费或限速
  3. DDNS的费用问题 所以我们在选择NAS的时候，一定要了解它的内网穿透方式，是否稳定可靠。

今天去看了一场车展，结果和各位一样，光顾着看美女了。所以我想探索一下到底什么是“美”，它是不是被定义的，能不能被培养。