当前位置：首页 > 事件经历 > 正文内容

我与阿里云不得不说的曲折经历

蟒山樵夫3年前 (2022-05-23)事件经历123

[TOCM]
## 背景
我要实现外网随时随地连接访问家里的群晖NAS，连接远程挂载共享文件夹、密码管理服务、个人在线书库、个人主页、博客、私有为知笔记等。而家里的宽带是内网。

已经具备的条件：
- 已经购买了自己的域名cqheng.cn
- 申请了免费ssl证书。

面临下列问题：

1. 群晖官方连接可以穿透内网，但只能用于群晖的官方套件，如drive、photo、video、note等等。要应用第三方套件，或者将群晖的文件夹挂载到外网的电脑，就得寻找另外的内网穿透工具。
2. ipv6可以实现外网直连（我的手机和平板都可以连接了），但没有通用性，比如我的办公室网络就没有IPV6。不能确保所有环境能够访问。
3. 花生壳设置门槛低，用起很顺手，但是限制过多，价格太高，按端口数量收费，动不动几百上千元每年。这对我这种重度使用者来说，真是“买饱吃不饱”啊（那些花钱买花生壳的，是不是人傻钱多？）

于是，开启了我内网穿透折腾之旅，从阿里云出发！

------------

## 2022年5月9日

购买阿里云轻量服务器，地埋位置在新加坡。每月24元，可接受。这大概是普通老百姓一包烟钱吧？
晚上在试图安装frp服务，下载安装成功。
**掉坑1：**在修改frps.ini文件时出问题。修改后无法保存，强制退出后，修改无效。
浏览器界面连接服务器成功。
**掉坑2：**本地终端用ssh命令登录不上。屏幕提示一大堆英文。

## 2022年5月10日

服务器安装宝塔面板成功。
**填坑2：**查明昨天本地终端用SSH命令登录不上的原因：服务器没有设置root账户的密码。
***填坑1：***发现宝塔面板上可以直接修改frps.ini文件。
根据知乎教程，https://zhuanlan.zhihu.com/p/448305084
frps服务端安装成功，可通过域名加7500端口访问仪表板。
**掉坑3：**通过ssh命令远程登录服务器，启动frps命令后本地命令行窗口不要关，关了服务就挂了。
frps后台启动方法https://www.cnblogs.com/ministep/p/15499768.html
命令修改：nohup /frps/frps -c /frps/frps.ini
***填坑2：***解决昨晚无法ssh登录的问题，https://blog.csdn.net/wd2014610/article/details/85639741
注：貌似该文中的命令参数 -c-c重复了，去掉一个-c才行，亲测如此。
晚上在找FRP群晖端时又找到另外的穿透方案，已经收藏于知乎https://zhuanlan.zhihu.com/p/389051687
按这个教程设置群晖端https://post.smzdm.com/p/a20wwpn7/
**掉坑4：**已经部署完成，但运行时出现意外停止，查看日志,显示错误为：
login to server failed: EOF
***填坑2：***尝试在群晖中安装第三方社群的frpc客户端，“我不是矿神”的作品。
设置映射4xxx5端口：设置后,通过域名加4xxx5端口访问群晖成功，说明设置没问题。
设置映射80端口，但打开网站时出现`您的请求在Web服务器中没有找到对应的站点！`的错误,说明80端口并未按要求转发，可能是服务器在占用该端口,但不知道如何解除占用。
设置445端口，用于smb共享，但远程无法访问。可能是在IPv4下，不能远程使用smb共享。此方案以后通过安装VPN网关解决。
**掉坑5:**晚上12点，重新安排好端口映射后，测试所有端口都打不开，宝塔面板、frp仪表板也打不开，用IP也打不开。ping服务器网址正常，域名正常。
## 2022年5月11日
### 掉了个大坑：防火墙
早上起来处理，检查昨天的故障，检查不出，重启服务器仍然不能解决，看来，还没搞定内网穿透就先面临网络故障问题了。
- 排除路由器原因：用手机浏览器和单位电脑也打不开。
- 排除frpc客户端：停止该服务端后重启服务器问题仍然存在。

***填坑5：***网上搜索解决方案，搜索到[阿里云轻量应用型服务器防火墙端口开放了还是无法访问问题](https://blog.csdn.net/BadBoyxiaolin/article/details/120859536 "https://blog.csdn.net/BadBoyxiaolin/article/details/120859536")，按教程一步步探索，最后重启防火墙解决。
可以访问宝塔面板（用8888端口）但无法使用内网穿透。
诊断：frps服务端没问题，因为打开frps面板（7500端口）正常。基本确定是客户端问题，但检查不出问题所在。
Nas上重启frpc，问题依旧。
卸载Frpc端，换另一款软件(樱花frpc），但运行时需要注册密钥，嫌麻烦放弃。
重装frpc,在编辑frpc配置时忽然想起，应该有个服务端登录密码：token = 123456,且服务器公网IP也要填写。
**掉坑6：**在使用宝塔面板过程中，系统提示默认端口8888不安全，改为9885.改了后宝塔面板无法登录。从服务器后台放开端口用命令行。
发现宝塔面板、服务器后台、命令行窗口三种情况下查看的开放端口列表都不一致。**彻底懵圈！**
命令行一重启防火墙，宝塔面板的防火墙就关闭。
4XXX5端口，用命令行开放，服务器后台开放、宝塔面板开放、frpc中设置完成，仍然不能穿透内网访问群晖。昨晚片刻的成功不再出现。
**困住了！**
以上花去一个上午。
### 绕坑：重置服务器，继续映射之路
***填坑3-4：***晚上尝试解决办法：重置服务器，不再安装宝塔面板。宝塔面板会部署建站环境，占用80端口，多一道防火墙设置环节等徒增麻烦，得不偿失。
重置服务器后，直奔frp主题，不再节外生枝。
不设置服务器密码，直接进后台进行远程登录。进后台需要手机认证，这样可以防止非法登录SSH。
重置后，发现之前的后台防火墙设置还在，但没安装firewall,不能用firewall查看防火墙设置情况，猜测早上为了解决面板访问问题安装了firewall以后，又多出一道防火墙，这个和宝塔一样，都不是系统自带的。同理不再安装。
下一步，按上述教程安装frps.
**掉坑7：**vi界面打开frps.ini后，不能输入任何文本。
***填坑7：***切换到英文输入法。
**掉坑8：**又遇到E37: No write since last change (add ! to override)，上次是用宝塔面板解决，这次不想装宝塔了。
***填坑8：***用:W!命令强制保存成功。
运行IP:7500打开仪表板成功。
加入后台启动nohup /root/frps/frps -c /root/frps/frps.ini（安装路径与前面已经不同）成功。
开始设置群晖中的客户端(先用docker,尽量用群晖官方软件)：
**掉坑9：**再次出现窗口意外停止的问题，此次尝试不安装第三方套件，尽量解决docker问题。
尝试网上资料，[frpc客户端连接会提示 login to server failed: EOF](https://blog.csdn.net/jeffscott/article/details/106644969 "frpc客户端连接会提示 login to server failed: EOF")
在frpc.ini文件全局设置部分加入这样一行tls_enable = true
重启容器，问题依旧。
另一方案，修改token值(https://www.cnblogs.com/h2zZhou/p/10355985.html)。
我是直接取消token,因为教程上说可以不设。
**掉坑10：**vi服务器上的frps.ini文件，token开关无法输入#字，切换英文也无法解决，窗口底部提示`Search it Bottom, Continuing at Top`
**填坑10：**按网上资料稀里糊涂解决(https://blog.csdn.net/qq_14989227/article/details/78403431)
检查确保两端的ini文件都已经注释token。
重启服务端——在后台运行中不知道如何重启，先重启客户端再说
重启客户端——问题依旧，看来还是要重启服务端，我怀疑配置文件修改好后，服务并未及时更新调用。
按此教程的方法[frp后台运行和停止](https://www.jianshu.com/p/43f69a534413 "frp后台运行和停止")停止frps服务，停止后仪表板打不开，说明已经停止成功。
重新后台启动，面板恢复。
重启客户端，问题依旧。
### 初步成功及进阶问题
***填坑9：***实在没办法解决，只好回到群晖第三方套件的路子。
安装简易，启动后把frpc.ini文件内容复制到窗口文本框中，保存。
服务器开放端口4XXX5和8XX5,立即在frps面板刷新，可看到映射成功的端口列表。
**测试登录群晖桌面，成功。
添加博客端口、书库端口映射成功。**
且无需重启防火墙，实时生效！
仍然存在web端口被占用无法映射的问题，不爽。
**经验：**不要安装宝塔面板和第三方命令行防火墙工具（也没必要），这些工具的防火墙与服务器自带的防火墙会发生功能上的交叉重叠。如果安装了，在开放防火墙时要对几个防火墙都进行操作，反而麻烦。
**进阶：**群晖实体机frpc套件中添加虚拟机端口测试能否转发？
虚拟机与实体机在同一网段，模仿花生壳的逻辑，不用在虚拟机中安装frpc套件，直接在实体机frpc中添加相应的网址和端口。我用8086来映射虚拟机的8083。成功。
**进阶**：80端口无法映射的问题，是不是客户端指定的type值的问题呢，如果把type值由tcp改为http会怎样？结果，一改就导致所有端口离线，吓得赶紧改回来。
**掉坑11：**尝试映射bitwarden的8090端口，映射后用手机登录，出现提示：发生了SSL错误，无法建立与该服务器的安全连接。查看托管网址，协议为https。
## 2022年5月12日
小心翼翼安装宝塔面板，并自定义目录、用户名、密码、端口，关闭防火墙（系统安全检测也建议：服务器已经有安全组，可关闭宝塔防火墙）。完成后映射正常。
宝塔面板将SSH将端口改为2xx2。设置root密码。这样做可增加安全性，但负面作用是服务后台远程连接无法登录，只能用宝塔面板登录或者从电脑的命令行登录。
**掉坑12：**准备测试域名访问，在frpc.ini文件中添加域名，看能不能隐藏端口，但一试才发现上一步改ssh端口后重启服务器忘记启动frp服务，网页打不开。由此想到frps设置开机自启动问题。
设置开机自启，网上[教程](https://cloud.tencent.com/developer/article/1820419 "教程")。是在 root/lib/systemd/system 下面新建一个文件frps.service
**掉坑13：**frps.service已经编辑好，但在按教程命令启动时出现`“找不到frps命令”`的信息。
***填坑12：***另一篇教程[Linux设置Frps Frpc服务开启启动](https://www.cnblogs.com/aosky/p/12950976.html "Linux设置Frps Frpc服务开启启动")，在/etc/systemd/system下添加frps.service，主目录不同。按本教程启动成功，重启后打开frps面板成功。
查看面板，发现没有任何端口记录。应该是上面（掉坑12）添加域名造成的。删除域名行，面板马上恢复。
## 2022年5月13日
**经验：**昨天操作的ssh端口无法修改时，发现默认的ssh端口放行规则无法修改，只能禁用。禁用后重新开启另外的端口用于ssh登录，可行。
于是想到无法转发默认的80端口问题（这导致网址访问必须加端口号），类推：如果把默认的http协议（规定为80不可修改）防火墙规则禁用，再添加自定义防火墙用80作为开放端口，是不是可以转发了呢？
于是测试，可行！解决了80端口无法转发，网址必须添加自定义端口号的问题。
又结合此教程[群晖NAS反向代理 + 内网穿透 = 无需端口访问内网所有服务无需端口，在群晖中配置好反向代理，用二级域名取代端口访问，](https://www.ioiox.com/archives/85.html "群晖NAS反向代理 + 内网穿透 = 无需端口访问内网所有服务无需端口，在群晖中配置好反向代理，用二级域名取代端口访问，")圆满成功。
**经验：**以后凡是遇到默认端口无法转发的问题，都采取“先禁用，再定义”的办法解决。
但试图远程访问smb协议还是不行，看来这是IPV4的软肋了。
**至此实现了这个目的：纯域名免端口访问群晖任意服务。**

以后设置服务穿透只需要两步（不分先后）：
- frpc配置映射；
- 控制面板配置代理

**问题：**这样处理后，理论上说，已经放行80端口，代理服务器只向群晖申请80端口，群晖再根据域名条件转发到本地真实端口，那就没有必要开放和映射其他端口。
这个理解对不对呢？
**测试过程略，结论：**如果需要http协议，只要映射80端口，然后在在映射条目下添加多条二级域名即可。无需添加多条映射名称和内容。
这样，frpc配置文件和frps面板就简洁得多了。
**发现：**群晖共享链接：file station只能用群晖的gofile.me域名，这个域名在外网无法访问。好在drive\photo等的共享链接可以修改域名。
**渐入佳境：**frpc文件中根本不需要添加域名，只要一个80/443端口映射，其他都由群晖反向代理服务来全权处理！frpc配置文件更简洁了。

## 2022年5月14日
办公室用UOS用webdav连接成功，但速度比zerotier慢。两者互补使用吧。
在阿里云上购买SSL证书，购买-申请-下载-导入群晖步骤已经清楚，能够实现https安全访问无提示，但在打开主页时出现问题：
https://cqheng.cn 可以访问，但 https://www.cqheng.cn 不能访问，出现`400 Bad Request`错误。
2022-5-15
昨天面临的https://www.cqheng.cn 不能访问的问题，查不出原因，怀疑与域名证书有关，具体逻辑不清楚。
尝试吊销域名，重新申请和安装。重启web服务。问题依旧。
已将群晖的图片、文档、笔记、博客等全部安装相应的域名证书，并启用HSTS（强制进入https）
发现：虚拟机中的博客的SSL 证书也要安装在物理机。否则访问时仍会出现警告。可能是因为反代设置在物理机。
晚上临睡又发现主页不能正常访问。

## 2022年5月16日
排查昨晚遇到的问题，删除群晖反代记录后，主页http访问正常，https访问出现警告。
**掉坑14：**个人主页没有安装证书，也无法安装。在安全性-证书-设置窗口中没有相应的服务项，反代设置中添加记录又会导致400错误。看来web个人站点安装SSL证书还有些问题没搞懂，个人主页只能放弃https。
上午各种分析猜测，各种测试，不能解决。
**填坑：**中午尝试：将默认站点指向博客，看访问是否正常，从而排除站点建设原因导致域名与SSL证书不正常。
无视默认站点占用80/443，将博客门户类型由设置“基于端口”改为“基于名称”，主机名设为cqheng.cn，端口保留为80/443，竟没有提示端口冲突。重启web station，以http://cqheng.cn 访问，可以通过该域名直达博客。
测试可行，还原博客，走下一步：
按上面的尝试新建一个站点www.cqheng.cn 时，提示域名已经被占用。
查看域名被占用情况，原来是早上在做测试时把反代设置中将www.cqheng.cn 指向博客了。
于是删除所有www.cqheng.cn 和cqheng.cn 的所有反代记录。
在web station中新建网页服务门户——默认服务器的备用门户，分别新建名为cqheng.cn 和www.cqheng.cn 的主机，端口均为80/443.
于是证书设置中可以看到以上两个主机名，都将其与名为cqheng.cn的证书匹配。
打开网页，http和https均正常访问个人主页。并且可以一个证书对应两个名称，不用另外申请证书了。
**所有问题圆满解决**，可以睡觉了。

## 2022年5月17日
反代设置域名访问宝塔面板访问正常、frp面板访问正常。
发现办公室用krusader访问webdav速度比系统自带的文件管理器的快。文件夹点开时稍有延迟，文件列表刷的一下就来，没有跳动感。

## 2022年5月18日
将宝塔面板设置绑定域名baota.cqneng.cn的后果：
1. 只能域名访问——系统提前告知。
2. 终端无法登录：面板上的终端无任何返回消息，本地电脑终端提示无权限。

无论是否绑定域名，一旦用域名访问面板后，面板端口会变为80，面板终端也无法登录云服务器。强制将面板端口改回9885，则提示端口已经被占用。
分析判断：域名访问后80端口被fpr转发到群晖，群晖再将80端口映射回云服务器的9885，此时端口被占用应该是指群晖与宝塔面板之间的通讯。但用SSH登录时为什么不行呢？
遇到**问题：**服务器关闭22端口后，ssh自定义端口也无法连接。解决办法：放弃自定义端口。
以上不想折腾的话，就直接用默认端口，IP访问。

## 2022年5月22日
发现个人书库地址book.cqheng.cn无法访问。
经测试，启用证书后，所有http开头的网址都不能访问。
单独设置端口转发8083，云服务器已经开放端口，frp已经转发成功，但仍然无法访问！域名不行，ip也不行！

## 2022年5月23日
**发现问题：**启用证书后，所有http开头的网址都不能访问。
http会自动转为https,如果该https网址有对应服务，则可以打开，例如群晖中的内置服务。如果没有，则无法打开任何网页。
即使群晖中关闭了HSTS，也架不住用户浏览器自动切换https.
如果从用户方浏览器关闭HSTS（且不说这个是否现实）。单独转发端口到群晖，走http，以calibre为例：
单独设置端口转发8083，云服务器已经开放端口，frp已经转发成功，但仍然无法访问！域名不行，ip也不行！
现在是这个局面：群晖设置了域名安装了证书以后，所有访问协议都必须走https。
那么，那些没有https，只有http的服务怎么办？
可不可以先https到达群晖，然后反向代理再转为内部的http?
亲测可行，现在实现
用https://book.cqheng.cn 打开书库
用https://bwd.cqheng.cn 打开bitwarden
用https://frp.cqheng.cn 打开frp面板
还有宝塔面板，理论上是 可以用域名打开的，但宝塔面板域名后必须再加个文件夹路径，输入同样麻烦，就不设了。如果要设，还得为它申请一个SSL证书，这会消耗SSL证书额度（免费单域名证书有20个，不支持通配符，已经申请了15个）。这个是给自己登录用的，自己记住就行。大不了加入收藏夹。也可以忽略警告用https://baota.cqheng.cn/cqhcxk 访问。
一个个问题解决，现在可以说双安全又方便，这个云服务器越用越爽了。可以随心所欲地玩了。

## 已经实现的效果小结
1. 一个域名访问群晖，可以用http，也可以https。
2. 以用形如xxx.cqheng.cn的简单地址访问群晖的服务。
3. 可以远程用webdav挂载群晖共享文件夹。解决了我一直以来的愿望，不用纠结VPN。
4. 可以用一个网址公开分享文件，任意地址连接访问。
5. 可以自己部署bitwarden，外网使用。
6. 可以自己用https外网访问书库