KSWEB 端口路由与内网穿透 frp ngrok Tailscale 三种方案对比
什么时候需要穿透
路由器端口转发不够用时，内网穿透是唯一解：
- 运营商给的是 CGNAT（共享公网 IP）——你家路由器根本没有独立的公网 IP，端口转发配置了也不生效
- 运营商封锁 80 / 443 / 8080 等常见端口
- 手机在公司 / 咖啡馆的 Wi-Fi 后面，路由器不是你控制的
内网穿透的核心逻辑是：手机主动连接一台有公网 IP 的服务器，服务器把外网来的请求转回手机的 KSWEB。
KSWEB 内置的端口路由
KSWEB TOOLS 里有一个 Port Forwarding Manager（PRO 版专属）——它能在手机上配置端口映射规则，把某个本地端口直接转发到另一个本地端口。这在多服务器共存时很有用，比如把 8081 转发到 8080（Lighttpd）。
但内置端口路由不能穿透运营商 NAT——要解决这个问题需要外部的穿透工具。
三种主流穿透方案
frp（自建，推荐长期使用）
frp 是一个开源穿透框架，分 frps（服务端，跑在有公网 IP 的服务器上）和 frpc（客户端，跑在手机上）：
- 租一个便宜的 VPS（阿里云 / 腾讯云轻量服务器，几十块钱一个月），跑
frps - 手机上跑
frpc——Android 上用 Termux 或 frp-android 客户端 - 配置 frpc 把本地 8080 / 8000 端口穿透到 VPS 的某个端口
- 外网访问
http://VPS公网IP:穿透端口/就到了手机的 KSWEB
优势：自建、免费、速度由 VPS 带宽决定。VPS 成本大约每月 20~50 块。
ngrok（即开即用，适合临时调试）
ngrok 不需要自己有服务器——它的客户端（Android 版在 Google Play 上）连上后会分配一个类似 https://abcd1234.ngrok.io 的临时 HTTPS 地址，外网通过这个地址访问你的 KSWEB。
用法：
- 注册 ngrok 账号，拿 authtoken
- 手机上打开 ngrok 客户端
- 配置穿透本地 8080 端口
- 拿到公网地址，电脑直接访问
优势：零配置、即开即用、自带 HTTPS。免费版每次重启地址会变，付费版可以绑定自定义域名。
Tailscale（VPN 方案，最安全）
Tailscale 是基于 WireGuard 的 mesh VPN——你的手机、电脑、其他设备都装上 Tailscale，自动组网，每台设备在虚拟网络里有一个固定 IP（100.x.x.x）。
优势：
- 不需要穿透，电脑访问手机就是访问 Tailscale 给手机分配的固定 IP
- 完全加密，流量不走公网
- 免费版支持最多 100 台设备
- 手机休眠时也能被唤醒（Tailscale 有 KeepAlive 机制）
劣势：需要每台访问者都装 Tailscale——如果只是自己的电脑访问很完美，但如果想让陌生人（客户或访客）访问你的 WordPress 站点，Tailscale 不适合。
方案选择
| 场景 | 推荐方案 |
|---|---|
| 临时给客户做 Demo | ngrok 免费版 |
| 长期自己电脑访问手机站点 | Tailscale |
| 长期对陌生人开放的小站 | frp + VPS |
| 不想花钱 | Tailscale 免费版 |
注意事项
- 穿透后先验证安全性 — 任何对公网开放的服务都可能被扫到，WordPress 站务必装防火墙插件（Wordfence / iThemes Security）、改好默认账号密码
- HTTPS — ngrok 自带 HTTPS，frp 可以配 Let's Encrypt + Nginx 反代，Tailscale 本身加密但域名不是公开证书
- 限速 — 手机的上行带宽有限（3G/4G 很慢），外网访问大图片或视频会卡。建议在 KSWEB 设置里开启 Web 服务器的静态缓存和 gzip 压缩
- 不建议 — 直接把 KSWEB 挂到 80 端口 + 端口转发 + 没有任何穿透/VPN 保护，等于把手机完全暴露在公网上