有动态公网的情况下怎么穿透家里的网络

[ldy619354397]

虽然说可以用 DDNS+端口映射访问到家里的服务器，但是总感觉不安全，想通过 VPN 加密的方式访问家里网络，再通过内网访问家里的服务器，有什么比较好的方案，硬件和软件需要什么？

[xcodeghost]

有群晖（其他 NAS ）的话，用群晖的 VPN 。没有的话，路由器有没有 VPN ，还是没有的话，买个迷你小主机吧

[ldy619354397]

@xcodeghost 用迷你小主机做旁路由吗

[cccer]

如果是 IPV6 我觉得 DDNS 没什么问题，IPV4 可以用 EasyTier 组网

[vvard3n]

Tailscale

[S0lution]

可以 easytier 组网，防火墙设好只开几个端口，我目前就是 ddns 的 ipv6 ，连爆破都没遇到过，如果是单机器的话我觉得最主要还是设好防火墙，ddns 的 ipv6 这条路线没什么问题的

[Danfi]

我是用的 ZeroTier ，路由器里也能装这个插件，电脑，收集都有客户端

[Danfi]

手机

[xhcnb]

部署 strongswan ikev2/ipsec 服务, 手机系统自带 vpn 拨号回去就是了

[yinmin]

有公网 ip ，web 服务直接用 https(客户端证书双向认证的 mtls)，ios/android/win/mac 浏览器直接支持，不需要第三方插件，安全性极高。

vpn 选 ipsec/l2tp 优势是操作系统内置客户端，ios/android/win/mac 不需要安装软件直接能用。

再部署 socks5+tls/mtls ，能直接在手机软件里加分流规则。

[luckyscript]

部署一个 ss 的服务端，翻回家。配置好策略后，甚至可以直接通过内网 ip 直接访问家里其他的设备。目前我是这么玩的。

[momocraft]

zerotier / tailscale （适合固定设备）

cloudflare tunnel （可以套一层 cf access 实现 2FA ，适合可能需要用别人设备的情况）

[cornorj6]

ddns+端口作为 openvpn 的端口，通过 openvpn 就能内网访问家里的服务器了。

[mm2x]

我都是 openVPN 回家

[angeni]

https://tailscale.com/

[breer]

我用 wireguard

[Autonomous]

跟楼主分享一下我现在的做法
网络环境是 IPv4 公网+v6 公网
硬件是 NAS ，UniFi 的网关路由器
买了一个域名，根域名不设解析，随机生成一个 24 位子域名并设解析，在 NAS 上跑一个 DDNS 脚本定期上报 v4 和 v6 地址给域名托管商。

NAS 里装一个 Docker ，起一个 3X-UI 镜像，设一个 VLESS+Reality+Vision 入站连接（偷微软），在网关防火墙放行入站端口（仅限 IPv6 ）

手机、电脑等设备安装 Loon 、FlClash 等，通过随机生成的子域名连接自建的 VLESS+Reality+Vision ，启用 IPv6 并做好分流，可以同时完成回家+科学上网

以上做法的特点：
1. 不开放 IPv4 入站，所以公网扫描不进来。IPv6 地址空间太大也找不到我
2. 根域名不解析，只有随机超长子域名解析，难以遍历
3. VLESS+Reality+Vision 难以识别特征，而且 Target 偷微软，抗攻击者和运营商的探测
4. 纯 TCP ，不存在 WireGuard 、传统 VPN 等 UDP 的 QoS 问题

我的运营商每隔几天就给我换 IP ，想要长期追踪+画像也不可能。
整套系统下来极其完美。

[Autonomous]

@Autonomous 隔段时间再换随机子域名、VLESS 的密钥、ShortID 、UUID ，简直安全的不得了，Fail2ban 都卸了，完全用不着。

[n43635]

Tailscale 或者 openvpn 这类的都可以，不过安卓上可能会和翻墙软件有冲突，所以我自己用的是 SSH 隧道，很多软件都支持 ssh 隧道配置，可以做到类似直连的使用。ssh 的话禁用密码改用秘钥+换端口还是比较安全的，保护好秘钥就行

[4NF]

easytire

[TimG]

openVPN 用密钥登录比较安全快捷，不同设备不同密钥，丢失设备可以随时吊销密钥

[dcncy]

DDNS ，内网搭一个 x-ui ，随便搞一个 vmess 协议，路由器只对这个协议端口进行转发。 手机或者外网设备在 QX 或 surge 上按照 IP 或者域名配置好，无感访问内网。

[1018ji]

我开一个 socks5 服务，手机上翻墙的同时还能回家

[Razio]

@Autonomous #16 UniFi 不是自带 vpn 吗，虽然有点卡

[ivan_wl]

softehter ，自带 ddns ，支持 OpenVPN, IPsec, L2TP, MS-SSTP 等各种各样的协议，手机电脑都不需要客户端了

[alinwu05]

Cloudflare Tunnel, 都不需要公网 IP

[xy323527470]

用 vpn 呗，openvpn 、IPsec 、l2tp 、zerotier 或者用主流的翻墙协议都行，或者什么 strongswan 之类的，总之 vpn 协议有一大堆，你挑两个用就完了

[owlbatex]

zerotier

[firefox12]

我是这样做的， 首先去宽带申请一个 ip ， 而不是 nat ，否则不行，然后局域网里有一个 windows, 上面运行了一个 ddns-go （开源的), 这样利用 ddns-go 把 xxx.aaa.com 这个域名绑定到 我的宽带上。 在家里的路由器上 开一个端口 18888 映射到 windows 上， 同时 windows 上运行了一个 go 代码 将 windows 18888 的流量利用 ss 转到我的 vps 上实现翻墙。

在家里使用 就直接使用 http_proxy 就出去了， 如果在外网 使用 wifi 的情况下 就使用代理 xxx.aaa.com 18888 就可以用家里的流量翻墙了。 如果手机用流量的话 就不行。 这应该怎么做？

[zjbpha]

买个云主机+frp 不好吗

[Mar5]

我比较懒，OpenWrt 直接跑 SS2022 节点，手机上的代理软件规则 x.x.x.x/24 走这个节点。
以前也用过 wg ，但是奈何 qos 太严重。

[laminux29]

ddns + IP 白名单就行了。

[Kaiyuan]

有公网，EasyTier 是比较好的选择。

[nvksie]

@ldy619354397 访问家里的服务器，什么服务呢？ web 和 ssh 吗？

[q000q000]

有公网直接家里弄个 VMESS ，Clash 配置分流规则。

[jamos]

EasyTier Zerotier ，frp 就别推荐了，直连的速度是 frp 望尘莫及的

[crackself]

singbox 的 endpoint/wireguard 支持用域名做 server ，只需绑定动态 ddns 给对应域名即可

[iceheart]

随便让 AI 写个 tcp 加密的程序，对称加密就行。其实自己写也没多少行代码。

[bugmakerxs]

wireguard

[rick13]

tailscale

[Autonomous]

@Razio 自带的是 OpenVPN 、WireGuard 这种 UDP 的，会被运营商 QoS ，我试过了，慢+不稳定

而且出站后就能访问家内网全部资源，一点隔离都没有，如果哪个客户端中毒沦陷了，全部一锅端

[lujiaxing]

这样.
你可以在腾讯云 / 阿里云上买个便宜的域名, 自动解析到你自己家的 IP 地址上.
然后自己家里弄个小服务器, 比如找个不用的笔记本, 树莓派, 甚至不用的 Android 电视盒子刷个 ARM Linux.
在上面部署个程序, 每隔三五分钟自动获取一次自己家的 IP 地址. 只要发现变了, 就利用 腾讯云 / 阿里云的 API 去更新这个域名的解析地址. 就可以了. 同时小服务器上装个 VPN 服务, 需要的情况下先连接 VPN 就好.

我家就是这么做的. 那个自动更新域名解析的服务也是我自己写的.

[javazero]

如果房子比较多想组虚拟局域网可以用 wireguard ，如果只是单点连接的话建议就 tailscale 就够了

[hjj0529]

vless 分流回去，内网自动走回家。

[nothing2]

同 25 楼，cloudflared 用了很久

[ApIEfuse]

@Autonomous #16 VLESS+Reality+Vision 我之前也试过，这个协议会生成一个 web 页面的，可以直接用浏览器打开；如果被运营商扫到容易封宽带吧？家宽架设 web 服务。

[Autonomous]

@ApIEfuse 不清楚你是怎么测试的，我这边不会看到 web 页面。而且我已经关了 ipv4 入站，运营商扫不到我

[oldbro]

wireguard