frps和frpc必须版本严格一致，否则因协议不兼容导致握手失败、反复重连或报invalid version错误；同时需确保bind_port（默认7000）在云安全组与本地防火墙均开放，且frpc中serveraddr必须填公网ip而非域名，server_port与frps的bind_port值完全一致，auth.token须字节级相同。

frps 和 frpc 必须版本严格一致，否则连接会直接失败——这是最常被忽略、却导致 80% 初次部署卡住的硬性条件。

确认服务端公网可达且端口开放

很多“连不上”的问题根本不在 frp 配置，而在网络层。你得先验证服务端的 bindPort（默认 7000）是否真能从外网访问：

• 在云服务商控制台检查安全组：必须放行 7000（或你自定义的 bindPort），不是 22 或 80
• 在服务端本地执行 ss -tuln | grep :7000，确认 frps 进程确实在监听 0.0.0.0:7000，而非 127.0.0.1:7000
• 用手机流量或朋友电脑执行 telnet your-vps-ip 7000；如果超时，说明防火墙/安全组/ISP 封禁了该端口，此时调任何 frpc.toml 都无效

frpc.toml 中的 serverAddr 必须填公网 IP，不能填域名

即使你已配好 DNS，frpc 启动时默认不走系统 DNS 缓存，尤其在某些嵌入式 Linux（如 OpenWrt、旧版树莓派系统）上，getaddrinfo 可能失败或返回空。填域名大概率报错 lookup your-domain.com: no such host。

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

• 务必使用 serverAddr = "123.45.67.89" 这类纯 IP 格式
• 如果 VPS IP 是动态的（比如家庭宽带做服务端），那必须换方案——frp 本身不支持动态 DNS 自刷新，得靠脚本定期更新配置并 reload，复杂度陡增
• serverPort 必须与 frps.toml 中的 bindPort 完全一致，包括类型（int）和值

SSH 穿透必须用 tcp 类型，且 remotePort 不能被占用

想通过公网服务器的某个端口（比如 60022）SSH 连回家里的 Linux，关键不是改 frpc 的本地端口，而是正确声明 remotePort 和 localPort：

• 在 frpc.toml 中新增一个 [[proxies]] 段，type = "tcp"（不是 "ssh"，frp 没这个 type）
• remotePort = 60022：这是你在公网 VPS 上对外暴露的端口，必须落在 frps.toml 的 allowPorts 范围内（如 [{start=60000,end=60999}]）
• localPort = 22：这是你家里服务器上真正运行 SSH 的端口，别写成 60022 ——那是混淆了内外端口
• 启动后，在外网执行 ssh -p 60022 user@your-vps-ip，流量才经由 frp 隧道抵达你家里的 192.168.x.x:22

auth.token 不匹配是静默失败，日志里只显示 connection refused

frps 和 frpc 的 auth.token 值必须字节级完全一致，大小写、空格、特殊字符都不能差。一旦不匹配，frpc 日志只会显示类似 login to server failed: dial tcp x.x.x.x:7000: connect: connection refused，看起来像网络不通，实则是认证拒绝。

• 检查方式：在服务端执行 grep token /usr/local/frp/frps.toml，客户端执行 grep token /usr/local/frp/frpc.toml，用 diff 对比输出
• 不要用中文引号、全角符号粘贴 token；建议生成时用 openssl rand -base64 16 直接产出安全字符串
• 如果改过 token，记得重启 frps（systemctl restart frps），否则新配置不生效

真正的难点从来不在“怎么写配置”，而在于每一层抽象之下都有它自己的失效逻辑：DNS 解析失败、防火墙拦截、token 字节差异、端口范围越界……这些环节只要断一环，整个隧道就静默沉默。调试时，永远先确认下一层是否通，再往上归因。