去年冬天我在老家过年，免费想从家里的网穿NAS上拉一份文件，结果发现电信给的免费光猫把外网端口全封了。打电话问客服，网穿对方说"个人用户不提供公网IP"。免费这事儿不是网穿个例，2023年之后三大运营商大面积回收IPv4公网地址，免费很多人家里的网穿宽带变成了大内网。想从外面访问自己的免费设备，要么花钱买内网穿透服务，网穿要么自己想办法。免费

花钱的网穿方案很多，花生壳、免费神卓互联、网穿ngrok付费版，免费一年几百块起步。但免费方案其实够用，只是大部分人没找对路子。

Cloudflare Tunnel：目前最省心的选择

Cloudflare Tunnel（以前叫Argo Tunnel）是我现在主力用的方案。原理不复杂：你在自己机器上跑一个叫cloudflared的小程序，它主动跟Cloudflare的服务器建立一条隧道，外部请求通过Cloudflare的域名转发进来。整个过程不需要你有公网IP，也不需要在路由器上做端口映射。

安装就一行命令的事。Ubuntu上直接curl -L https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64 -o cloudflared && chmod +x cloudflared，然后cloudflared tunnel login授权一下，创建隧道、配置域名，十分钟搞定。免费版支持HTTP/HTTPS和TCP转发，带宽不限，速度取决于Cloudflare的边缘节点。我在家用它转发Jellyfin，在外地看1080p视频基本不卡。

唯一门槛是你得有个域名，而且域名要托管在Cloudflare。域名本身可以很便宜，.top首年几块钱，续费也就二十来块。比起内网穿透服务动辄上百的年费，这个成本几乎可以忽略。

Tailscale：更适合设备互联

如果你不需要把服务公开给所有人，只是自己几台设备之间互相访问，Tailscale更合适。它基于WireGuard协议做了一层封装，安装后自动组网，每台设备分配一个100.x.x.x的虚拟IP。免费版支持100台设备，个人用绰绰有余。

我家里一台群晖、一台NUC跑着各种服务，公司笔记本和手机上都装了Tailscale。在外面打开手机就能直接访问家里的192.168.1.x网段，因为Tailscale支持子网路由（Subnet Router）。配置也简单，在群晖上开个Docker跑tailscale，加一行--advertise-routes=192.168.1.0/24，然后在管理后台批准这条路由就行。

速度方面，Tailscale会尽量打洞直连。打不通的时候走DERP中继，免费版的中继节点在国内偶尔会绕路，但日常使用感知不明显。传大文件的时候我会看一下连接类型，如果是relay就等一会儿再试，通常能切到直连。

frp：老牌方案，需要自己有服务器

frp是国人开发的开源项目，GitHub上快80k star了。它需要你有一台带公网IP的服务器做中转，比如腾讯云轻量或者阿里云ECS。服务端跑frps，客户端跑frpc，配置好端口映射就能用。

这个方案的优点是可控性强，所有流量走自己的服务器，不怕第三方服务哪天收费或者限速。缺点也明显——你得有台服务器，而且国内服务器的带宽费用不便宜。我目前用一台腾讯云轻量做frp中转，主要跑一些低流量的服务，比如SSH和RSS阅读器。看视频这种高带宽场景还是交给Cloudflare Tunnel。

ZeroTier：跟Tailscale类似但更老

ZeroTier比Tailscale早几年，原理差不多，也是虚拟组网。免费版支持25台设备。它的Moon节点可以自建，国内用户如果觉得官方根服务器慢，可以自己搭一个Moon做加速。不过Tailscale这两年在易用性和打洞成功率上做得更好，我身边不少人都从ZeroTier迁到了Tailscale。

怎么选

想公开服务给外网访问，用Cloudflare Tunnel。只给自己设备互联，用Tailscale。有现成服务器且流量不大，frp更踏实。三个都免费，组合着用也行。我自己就是Cloudflare Tunnel跑对外服务，Tailscale管设备互联，frp做备用通道。

别被"内网穿透"这个词吓住，本质上就是让外面的请求能找到你家路由器后面的那台机器。上面这几个工具把复杂的网络问题包装成了几条命令的事，花半小时折腾一下，比每年交几百块划算得多。