宝塔反向代理无法实现内网穿透，仅限服务器本机生效；需配合frp等工具将内网服务映射至公网服务器，再由宝塔代理该入口并配置https、websocket等参数。
宝塔面板的反向代理功能本身不能实现真正的内网穿透，它只在服务器本机生效；想让外网访问到你家里的开发服务，必须配合公网IP或内网穿透工具（如 frp、cpolar、花生壳）一起用。
为什么直接用宝塔反向代理无法穿透内网
宝塔的 反向代理 本质是 Nginx 的 proxy_pass 指令，它只负责把「到达宝塔所在服务器的请求」转发给另一个地址（比如 http://127.0.0.1:3000）。如果这台服务器没公网IP、没开80/443端口映射、或者被运营商封了入站，外网根本连不上它——代理再配得再好也没用。
常见错误现象：502 Bad Gateway 或浏览器显示“连接被拒绝”，往往是因为目标服务没运行、端口填错、或防火墙拦了本地转发（比如宝塔服务器上启用了 firewalld 但没放行 127.0.0.1 到目标端口的流量）。
- 你的宝塔装在云服务器上 → 可以用反向代理隐藏后端（例如把
api.example.com代理到http://127.0.0.1:8080），这是典型用法 - 你的宝塔装在家庭宽带的 NAS 或树莓派上 → 单靠它无法让外网访问，必须先解决“怎么让请求到达这台机器”的问题
正确组合：宝塔反向代理 + frp 实现完整链路
frp 负责把家庭网络里的某个端口“映射”到有公网的云服务器上；宝塔则在云服务器上接管这个入口，并用反向代理做路由、HTTPS 终止、路径重写等增强控制。
实操关键点：
- frp client 配置里
local_port填你内网服务的真实端口（如3000），remote_port填云服务器上监听的端口（如8081） - 云服务器上宝塔新建站点，绑定域名（如
dev.example.com），然后在「反向代理」里添加规则：目标URL填http://127.0.0.1:8081（不是内网地址！） - 务必关闭宝塔站点的「强制HTTPS」开关，除非你已为该域名配置有效证书；否则 frp 转发的是 HTTP，强制跳 HTTPS 会导致循环或失败
- 如果需要保留原始 Host 头（比如后端服务依赖域名判断租户），在反向代理配置的「高级」里加上：
proxy_set_header Host $host;
反向代理配置时容易漏掉的 Nginx 细节
宝塔界面上的「反向代理」看似一键，但底层生成的 Nginx 配置常缺几个关键项，导致 WebSocket 断连、文件上传超时、或响应头被过滤。
建议手动补全以下参数（在反向代理编辑页点「高级」→「配置文件」里追加）：
-
proxy_read_timeout 300;（默认60秒，大文件上传或长轮询会超时） -
proxy_http_version 1.1;和proxy_set_header Upgrade $http_upgrade;（WebSocket 必须） -
proxy_set_header X-Real-IP $remote_addr;（让后端拿到真实 IP，而不是127.0.0.1） - 如果后端返回的 Location 是内网地址（如
http://192.168.1.100:3000/login），需加proxy_redirect http://192.168.1.100:3000/ /;重写跳转路径
真正卡住人的从来不是「怎么点按钮」，而是搞不清流量经过了几层：frp client → frp server（云服务器）→ 宝塔 Nginx → 后端服务。每层都可能改写 Host、丢 Header、限制 Body 大小。调不通时，优先查 Nginx 错误日志（/www/wwwlogs/nginx_error.log）和 frp 日志，别只盯着宝塔界面看。
