内网穿透与 ngrok 常见问题

内网穿透的核心是让公网用户访问内网服务。常见场景包括微信支付回调、公众号消息回调、本地接口联调、远程演示、临时文件服务和远程调试。

官方入口

ngrok 文档

ngrok HTTP Endpoints

ngrok Agent 配置

常见方案对比

方案	适合场景	特点
ngrok	本地开发、Webhook、临时预览	上手快，公网地址由平台分配
Cloudflare Tunnel	自有域名、长期服务、Web 管理后台	不需要开入站端口，适合域名托管在 Cloudflare 的项目
FRP	自建穿透、内网设备多	需要自己有公网服务器
SSH 反向隧道	临时转发、轻量排查	依赖 SSH 连接稳定性
路由器端口映射	固定公网 IP、家庭或公司网络	需要公网 IP 和路由器权限

本地服务运行在 8080：

1	ngrok http 8080

指定本地地址：

1	ngrok http http://localhost:8080

用于微信、GitHub、支付回调调试时，把 ngrok 提供的 HTTPS 地址填到平台回调地址里。

1	ngrok tcp 22

适合临时暴露 SSH、数据库或其他 TCP 服务。暴露 SSH 时一定要使用密钥登录，禁止弱密码。

如果有一台公网服务器，可以用 SSH 建立反向隧道：

1	ssh -N -R 9000:localhost:8080 root@server.example.com

含义：

如果想让公网用户访问，还要确保服务器 sshd_config 允许：

1	GatewayPorts yes

修改后重启 SSH：

1	systemctl restart sshd

autossh -M 0 -N \
  -o ServerAliveInterval=30 \
  -o ServerAliveCountMax=3 \
  -R 9000:localhost:8080 \
  root@server.example.com

免费临时地址通常会变化。如果需要固定域名，要使用平台提供的固定域名能力，或改用自有域名加 Cloudflare Tunnel。

检查：

检查本地服务监听地址：

1	ss -lntp \| grep 8080

如果应用只监听在容器内，隧道客户端可能访问不到。Docker 场景要确认端口映射：

docker ps

隧道服务通常会在请求头里传递来源信息。后端需要读取：

1
2
3

X-Forwarded-For
X-Real-IP
Forwarded

但这些请求头不能无条件信任，生产环境要结合可信代理列表。

确认穿透服务支持 WebSocket，并检查本地代理配置。Nginx 反代 WebSocket 时需要：

1
2
3

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";