ShowDocs
搜索文章Ctrl K

外观

← 返回VPN / 隧道 / FRP列表
知识专题

隧道与穿透：变更、排障与恢复自检 ​

隧道发布、凭据轮换与恢复 ​

维护隧道两端配置前先保存监听端、控制通道、目标服务与回程，恢复后以FRP 映射、SSH 转发与 WireGuard 路由验收。具体配置见配套示例。

临时映射的生命周期 ​

临时映射应有负责人、用途、到期时间和撤销证据，不能只靠进程名判断哪个端口属于本次任务。结束后核查两端监听、访问规则和秘密分发。连接断开是否释放远程资源依具体产品与配置，本课离线材料不创建资源。

切换与防锁出 ​

管理通道的路由切换先准备旁路与回退。扩大VPN前缀可能把到VPN端点的路由也卷入隧道，或让现有SSH连接失去回程。分步引入目标前缀并从双方检查路径，保持原连接直到验收。推演不能代替真实授权维护窗口的测试。

练习与参考解答 ​

练习：准备把VPN允许前缀扩大到默认路由，当前SSH管理连接依赖原网关。直接替换配置再关闭原连接有什么问题？写出切换与撤销所需对象。

参考解答

可能连VPN端点和管理回程也改走尚未可用的隧道，造成锁出。先保存端点/管理源地址的原路由、转发监听、负责人和到期时间，准备独立旁路；分步切换后核对双方路径，再撤销旧映射与秘密。进程名相同不证明某个监听就是本次资源。

已连接却不可用的链路排障 ​

本节沿FRP 映射、SSH 转发与 WireGuard 路由定位失败层；先确认监听端、控制通道、目标服务与回程，与配套示例逐项对照，再选择最小修复。

握手成功但业务失败 ​

握手成功只证明相应对端的密码身份与部分外层连通性，业务失败还要查内层地址、路由、防火墙及目标服务监听。先分别标注控制通道和数据路径；FRP客户端在线也不证明目标端口可达。不要用关闭所有过滤规则来定位。

绑定失败与资源冲突 ​

绑定失败先核对地址是否属于本机、端口是否占用、权限和协议族，再核对转发配置的端点作用域。记录已有监听的所有者，不能为腾端口随意终止系统服务。恢复时撤销本次映射配置，保持原服务和管理入口。

练习与参考解答 ​

练习：FRP客户端显示在线，但映射业务连接失败；另一次启动报端口已占用。二者可以统一用重启修复吗？分别给出最小核对对象。

参考解答

不可以。在线只说明控制通道的部分条件成立，要核对代理服务端监听及客户端到业务目标的地址/端口和返回路径；端口冲突则核对本机绑定地址、协议族、端口与已有监听所有者。不要为腾端口终止未知服务，也不要关闭所有过滤规则。

隧道在线但目标不可达的复盘 ​

以下演练将隧道两端配置的变更、失败证据和恢复验收串起来；先熟悉配套示例中的监听端、控制通道、目标服务与回程。演练未执行。

故障场景与影响 ​

隧道客户端显示在线，外部访问转发端口仍然失败。

先记录首次异常时间、受影响对象和最近变更，区分个别对象失败与整条管理链路异常。以下是排查演练，不是已发生事故的实测记录。

按证据定位原因 ​

  1. 核对入口监听地址、端口、认证身份和目标服务地址；分清回环地址分别属于哪台机器。
  2. 逐段检查外部到入口、隧道两端以及出口到目标服务的连通与授权。
  3. 比较控制通道状态与实际数据请求日志，检查名称解析、回程路径和目标端口限制。

恢复步骤与验收 ​

只修正故障段配置，保留入口访问限制；若发布扩大了暴露面，先撤回新增映射，再恢复原凭据与目标约束。

验收：批准客户端能访问固定目标，未授权来源和未批准端口仍被拒绝；隧道断开与重连后行为符合预期。

将触发条件、直接原因、修复动作、恢复证据和后续检查写入同一份复盘，明确每项后续工作的负责人。机制参考：官方说明。

机制自检 ​

自检：根据上面的场景画出故障链，标出每一项证据来自哪个对象、发生在哪个时间。说明恢复动作改变了什么，以及为什么其他原本允许或拒绝的操作仍符合预期。

参考解答与误区 ​

问题一：LocalForward目标127.0.0.1属于哪台机器？

答案：属于发起目标连接的SSH服务端；监听入口在客户端。RemoteForward方向相反，所以不能把相同localhost字符串当成同一主机。

问题二：WireGuard握手成功但业务不通，下一步是什么？

答案：检查系统路由是否把业务包送入隧道、AllowedIPs是否匹配内层地址、对端回程和目标防火墙/监听；握手只证明外层与对端身份的一部分条件。

问题三：把FRP代理入口从回环改0.0.0.0有什么变化？

答案：入口扩大到所有IPv4接口，网络可达者可能访问被映射服务。token验证的是FRP客户端接入，不能替代被映射服务的业务授权。

验收与未验证项 ​

验收应覆盖正常操作、预期拒绝和恢复后的再次操作，并记录实际版本、身份、配置及结果。本文示例未执行；配置审阅与离线推演不能替代真实环境的连通、权限和恢复验证。

版本、来源与进一步阅读 ​

核对日期：2026-10-17。教学版本族：WireGuard协议语义、OpenSSH9.x、FRP0.61.1固定TOML资料。固定源码用于重现字段，动态官方网页用于补充说明，不称为2026最新版本。具体字段与语义以本节所列一手资料及目标版本手册为准。

继续阅读