利用Nginx实现简单内网穿透：反向代理与端口转发配合-Nginx-PHP中文网

Nginx实现内网穿透的本质是反向代理中转，而非绕过NAT或防火墙；需依赖公网服务器与内网服务的网络连通（如SSH隧道），再通过proxy_pass将外部请求映射至内网地址，并支持HTTP/HTTPS及stream模块的TCP/UDP转发。

利用nginx实现简单内网穿透：反向代理与端口转发配合

用 Nginx 实现内网穿透，核心不是“穿透”本身（Nginx 无法绕过防火墙或 NAT），而是通过反向代理 + 公网服务器中转，把外部请求“映射”到内网服务上。关键前提是：你有一台带公网 IP 的 Linux 服务器（比如云主机），且内网服务已能被该服务器访问（例如通过内网 IP 或 SSH 端口转发打通网络）。

前提准备：确保网络连通性

这是最容易卡住的一步。Nginx 本身不解决网络可达问题：

确认公网服务器能主动访问你的内网服务（如 curl http://192.168.1.100:8080）；如果不能，需先建立连接通道——常见方式是用 SSH 反向隧道（ssh -R 8080:localhost:8080 user@public-server），让内网服务“反向暴露”到公网服务器的本地端口
确保公网服务器的对应端口（如 80/443 或自定义端口）已在安全组、防火墙（如 ufw/iptables）中放行
Nginx 需监听在公网可访问的地址（如 listen 80; 或 listen 0.0.0.0:8080;），而非仅 127.0.0.1

基础反向代理配置（HTTP 服务）

适用于内网已有 Web 服务（如 Flask、Node.js、本地网站），且已通过上述方式让公网服务器可访问它：

server {
    listen 80;
    server_name your-domain.com;
<pre class="brush:php;toolbar:false;">location / {
    proxy_pass http://192.168.1.100:8080;  # 指向内网服务地址
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

}

注意：proxy_pass 后的地址必须是公网服务器能直接解析并访问的（可以是内网 IP、localhost（配合 SSH 隧道）、或 127.0.0.1 上由隧道暴露的端口）。

非 HTTP 流量转发（TCP/UDP）

Nginx 默认只处理 HTTP/HTTPS。如需转发 SSH、MySQL、远程桌面等 TCP 流量，需启用 stream 模块（编译时需带 --with-stream，主流发行版包通常已包含）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

在 /etc/nginx/nginx.conf 的顶层（不在 http 块内）添加：

stream {
    upstream inner_ssh {
        server 192.168.1.100:22;  # 内网 SSH 地址
    }
<pre class="brush:php;toolbar:false;">server {
    listen 2222;
    proxy_pass inner_ssh;
    proxy_timeout 1s;
}

}

然后重载 Nginx：sudo nginx -t && sudo systemctl reload nginx。此时访问公网服务器的 2222 端口，就会被转发到内网机器的 22 端口。

安全与实用建议

公开暴露内网服务有风险，务必加固：

避免直接暴露管理后台、数据库端口；如必须，限制访问来源（allow 1.2.3.4; deny all;）或加认证（HTTP Basic Auth / SSH 密钥）
为 HTTP 服务配置 HTTPS（用 Certbot 自动申请 Let’s Encrypt 证书），防止流量被窃听
不要用 root 运行 Nginx；用非特权用户启动，必要时用 systemd 的 CapabilityBoundingSet= 控制权限
日志要开启（access_log /var/log/nginx/tunnel_access.log;），便于排查和审计

这种方案本质是“代理中转”，不是真正的 P2P 穿透，但稳定、可控、无需第三方服务。只要公网服务器在线，内网服务就能被间接访问。