优雅访问家里内网服务的方式讨论

[kiritoyui]

背景：家宽动态公网域名，部分服务跑在 nas 上面，公网访问服务目前有以下几种方式：

1.访问服务的 ddns 域名:端口
2.借助代理软件和内网的 wg 服务直接访问服务的内网地址：192.168.2.x:xxxx (代理软件基本 24 小时开，内网访问 192.168.2.xx 的时候还是会被代理软件走一遍分流绕一圈？）
3.通过 edgeone 加速（可能）域名访问，不用加端口

请问各位佬，你们更倾向哪一种方式，或者说你们还有更优雅便捷的访问内网服务的方式，请不吝赐教。

方法 2 已经找到办法解决内网绕圈问题；
代理软件设置一个规则 ip-cidr,192.168.2.0/24 然后指定这个规则走 ssid 策略，ssid 策略是默认走回家节点，家里 ssid 下走直连，完美解决问题
其实应该还有其他解决方法，比如路由器自定义域名（ wg 域名直接解析到本地，但是我用的华为 Q6 没这功能）

[chingyat]

我是直接用 wireguard 通过 tx 云中转。手机上用 shadowrocket 加了条規则，内网的流量回家，其他的走梯子。

[hefish]

我是家里电脑上装了个向日葵。
然后笔记本上装了个向日葵。
开了会员，可以远程看电影了。。 咳咳。。

[bigshawn]

wireguard 很烦 qos ，所以我选择 ss

[harmless]

@kiritoyui 路由器加个自定义 dns 把公网域名解析到家里的 ss 服务器上，不用设置家庭 ssid 直连

[bytesfold]

心血来潮折腾了一晚，没有公网 IP 最佳方案：

第一步：
1. 买服务器，200M 锐驰
2. 搭建 DERP
3. 云服务器和家庭组网，允许路由家庭子网
至此，云服务器可以访问家庭任何网络。

第二步：
1. 云服务器仅 DERP 转发，不准走 UDP
2. 手机端安装，手机完成与家庭组网
至此完成家庭网络与云之间 QoS ，手机的访问

第三步：
1. 家庭旁路由设置好
2. 找一台长期开机机器配置为旁路网关，可以访问 google
3. 手机端 Exit Node 设置第二步的机器

第四步：
1. ssh 端口映射旁路由 socks5 到公司 PC 供浏览器和可设置代理的软件使用
2. ssh 映射人需要的其他服务 SSH 、RDP 到公司 PC localhost ，避免影响公司网络拓扑，仅使用工作必备的内容

至此手机端一个 Tailscale VPN 可以访问家庭网络，也可以科学上网，还能使用旁路由的分流规则；
公司也可以使用必备的服务和网络资源

表述随意，觉得有用但是看不懂的可以让 AI 翻译逐步解决

[exoticknight]

tailscale

[obeykarma]

tailscale 吧

简简单单

[jason56]

我用 nowtunnel , 免费 5M , 客户端间互访可以选择 proxy 或路由方式

[ATKLLL]

openwrt 装个 openvpn 服务端,端口映射出来配合 DDNS,一键导出配置文件,Android win 客户端连接都很方便,一键回家.一键稳定使用好几年了

[badgv]

@readonly zt 就只有一点，支持二层隧道，这一点比 tailscale 强，其他的所有方面，都不如 tailscale ，自建 headscale 配合 acls 规则，很好用

[byte10]

有公网 IP 好办很多啦，路由器搭建 vpn ，然后手机连接家里的 vpn 即可，一律走内网。

我是用 frp 作为 vpn ，就是需要一台公网服务器，后面打算直接买别人的 frp ，部署服务器算了。然后再加一台蒲公英 X1 带宽 2M ，作为应急，备用方案（主要是几十块永久组网，真的划算）

[Kazetachinu]

我不会自己弄，直接用的 sakurafrp ，现成的服务。

[yiwayhb]

@zwlinc 直接用 tailscale 的 subnet 不好吗？

[yiwayhb]

@HFX3389 #88 子网不一样的问题，用 DNS 搭配域名访问可解

[iphoneXr]

我也来介绍下我的方式，算是补充你的方式 4 吧：
4 、我是直接买了个阿里云 ecs ，然后走 vpn 和内网打通，阿里云 ECS 安装 WAF 类软件（雷池 WAF 、宝塔 WAF 等），然后域名--阿里云 ECS--内网 nginx--各服务。
通过二级域名来反向代理到内网的各服务。

[dany663399]

公网 ip 用的 ddns 服务直接暴露公网 没加什么 vpn 用了 3 年 一点问题没有

[SakuraYuki]

@kiritoyui #5 那就用 surge ，代理和 udp 回家都有了或者 wg or ss 回家

[SakuraYuki]

我用的 surge 的 ponte ，除了前期一笔软件花费不需要任何额外花费，比起其他方案的优点 1.是简单配置，配置文件里加一行规则就配置完成了。2.surge 的流量没 wg 那么容易被 qos 。3.既不需要域名 vps 也不需要公网 ip ，4.可以保持一边科学上网一边 udp 回家。还有一个不重要的点就是可以在 surge 里设置 dns 映射，把内网 ip 改成自己喜欢的域名，不用去每一台设备里修改 host ，这样想用什么好记的域名访问内网服务都可以

[JusticeLanding]

方案 2 是 GPT 教我的这样子吗？它说需要一台 VPS
1️⃣ 在 VPS 上部署 WireGuard （作为服务器）
2️⃣ 家庭 NAS 上部署 WireGuard 客户端
3️⃣ 设备端设置代理规则（重点）

[mikaelson]

有没有能透传内网 IP 的 vpn ？ wireguard 好像不支持透传。都要经过 wg0 的 ip 转发

[kiritoyui]

@JusticeLanding 不需要 nas 部署 wg-easy ,手机，电脑找一个支持 wg 的代理软件即可，分流内网地址走 wg 节点

[authony2020]

@kiritoyui #48 是规则里的 Origin Rules 将所有请求重写到你想要的端口。我一直用的代理所有目前看速度还行。

[1252603486]

easytier 用了一段时间挺好的，只有 nat 类型别太差就行，十分推荐

[iife]

frp + ss/vmess/tojan ...

[Blabber9125]

有公网，直接 lucky 反代，很方便，只有在外笔记本需要 smb 访问时才开 tailscale 和 wireguard

[miyuki]

openwrt+tailscale(headscale) 正常

[miyuki]

@ticysis 如果是一个内网下，只装一个设备就可以，这个设备设置的时候宣告 --advertised-routes=192.168.1.0/24 ，就把这个网段暴露出去了

[saybye]

zerotier 自建 Planet 啊

[sunulin]

我的历程：
SoftEther →ss→headscale （ tailscale ）→zerotier→现在：VNT 主用，备用 easytier 跟 zerotier 。
1.SoftEther 跨网后期经常连不回去，不垮网有时候也不行，手机配置下 不用下啥客户端这个挺好的。
2.ss 需要外网 IP 有时候也莫名其妙的连不上，不是很稳定，但是好用的时候 家里配置好科学 这边就不用了。丝滑
3.headscale （ tailscale ） 自建 derp 跟 headcale 用了一年 也是跨网有时候 主机不上线，电信的经常出问题，后来服务器到期没保存配置，失联了，就弃用了。
4.zerotier 建的 moon 有时候 有服务就是不上线，有时候服务启动也很迷。不启动的时候 排查感觉太麻烦。
5.VNT 自建 vnts 挂着 cloudflare 可以穿内网，不用啥设置，就是好像有时候限速，一行命令搞定。CNAME 下，只要你的域名不被 Q 就不失联。
6.easytier 感觉这个最好，简单配置就行，两边一行命令就可以。可以用公共的服务器 也可以自己建，如有自己域名的话 CNAME 下 不会失联。
不过现在主要还是用的 VNT 部署好 一直挺稳定，其他两个做备用 总有掉线失联的时候其他的可以替补下。
现在买了几个 JDCloud RE-SS-01 刷的 OP 放在各个经常落脚的地方。车上买了 LTD 限速的无限流量小设备，插在 JDCloud RE-SS-01 当 CPE 用。 也不用下软件。当然 VNT 、easytier 还可以用 Wireguard 加入他们的网络里手机电脑等其他设备 没法运行 他们的客户端情况下可以用，像只有 IOS 没有，当然这个模式这个我没试过；也可以用他们的客户端。 我就懂点皮毛瞎折腾。

[P945]

在 nas 上，ddns 一个脚本就搞定了域名（前提你有公网）；然后 WireGurad 走的 UDP ，部分地区 ISP 会 QoS 。

[JusticeLanding]

@kiritoyui #121 不用 vps 的话，是不是需要公网 IP 。

[baixixi]

life is short, why not ponte

[0xD800]

搭建 vpn 服务要配置好多东西。最好就是 vpn 可以真内网，二层代理。普通的 clash singbox 是三层代理

[cnightmare]

ddns+反代，只开一个接口，用二级域名来处理所有的访问，就是很多服务得懂怎么处理反代

[0xD800]

各位 vpn 服务器用哪个搭建的？
哪个性能高，客户端用 openvpn ？

[neptuno]

全设备都是 apple 的话，我觉得 surge ponte 方案是最无感最优雅的！

[Nem0]

CN2+FRP 安全快速

[1340976576]

或许可以使用我的内网穿透服务。。https://natnps.com/

[terrancesiu]

家里移动 200m 上行，家里的 rb5009 用 wg 对接阿里云广州，人在深圳手机用 wg 和 aliyun 广州连接，手机用 iperf 和家里设备测速能拉下行 120m 。

[ahdw]

@zbatman 使用 tailscale 成功！感谢

[srwle]

网易 UU

[beijiaoff]

最近我也在折腾这个问题，我有公网 ip ，用 ddns 访问。用群晖自带的反代功能，让不同的服务通过子域名区分。
端口号统一（为了优雅，也不用单独去路由器给新调整的做转发）。不用 tailscale zerotier 等的原因是需要装软件、开关软件，给家人访问也不方便。而且我这里 tailscale 还被墙了

[luzihang]

公司网络安全监控了 tailscale ，不让用。目前用的贝锐的蒲公英

[Riye]

目前的方案
动态 ipv6 cloudflare 买的数字域名很便宜 ddnsgo 注册。由 npm 进行反向代理、自动注册证书。
路由器（有软路由用软路由）安装 tailscale ，配置宣告内网，这样在外网设备上安装 tailscale 打洞成功后就是 10+ms 的延迟相当于局域网。
动态 v6 的问题是有些地方无线网没有开启 v6 支持，4g5g 都没问题。
tailscale 的问题在于打洞，刚开始用会有问题，或长期打洞不成功，但是 4g5g 基本秒打洞，而且需要路由器光猫开启 upnp 保证网络类型为（忘了）。
还有一种最靠谱看雪 ksa 内网穿透免费，一对一连接（貌似可以开启局域网代理），秒打洞

[mkt]

@kiritoyui 我用的也是这种方式，用 clash 规则区分就行了，遇到 192.168.100.x 走 nas 的 ss ，

[gw4gw]

刚用起 tailscale ，看看大家有什么更好的方案

[yigehaozi1]

开门 承诺书签一下

[LoNeZ]

tailscale + derp + cf 备

[ayfun]

不用服务器的方案
参考： https://github.com/KeCiTech/ddnsgate

internal.example.com → 内网地址（如 10.31.1.1 ）
ipv6.example.com → AAAA 由 DDNS 解析到非 Cloudflare 服务
cloudflare.example.com → AAAA 由 DDNS 解析到 Cloudflare 并开启代理
入口 js 判断跳转：直连内网 > 直连 IPv6 > 走 Cloudflare CDN

[iworkcloud]

@z7356995 #15 这个没明白

[cpanel]

对的，网络好的地方推荐 zeroTier ，如果路由器部署了，后面的设备都能直接访问原 ip

[poseidOn7246]

电视盒子上刷 armblian ，装了 tailscale 和 shellcrash 透明代理，谷歌上搜到的方法：iptables -t nat -A PREROUTING -i tailscale0 -p tcp -j REDIRECT --to-ports 7892 ，把 tailscale0 网卡的流量劫持到 clash ，但是只要 shellcrash 服务挂了，tailscale 也连不回去了。

[404not400]

看看 ringlink, mesh VPN ，用起来也很方便，有社区版本免费： https://ring.link/download/

[ko20]

@bowencool 这也不新吧，几年前就这么用了。在家里路由器上搭建 ssserver 或者其他协议的 server 端，想办法让其暴露在公网，比如 IPv6 ，比如 DDNS IPv4 ，还可以用 frp 映射 TCP/UDP 端口，在外面用 sslocal 连接这个 ssserver ，访问家里和科学一个服务就搞定了。