前阵子帮朋友折腾一台群晖NAS他在外面老想访问家里NAS上的下载任务和照片库但运营商不给公网IPDDNS这条路直接断了。我第一反应是上frp后来最终换成了nps体系下群晖用Docker部署npc客户端原因是nps的服务端自带一个Web管理面板能可视化管理所有隧道和客户端对不熟悉命令行的朋友友好得多。这篇文章就把整个过程整理成一份可以直接照做的记录从为什么选这套方案到Docker里怎么配置npc再到实际运行中会踩的坑一次讲完。如果你手上有群晖NAS想在外面访问家里的服务又不想折腾frp那一堆配置文件这篇文章应该正适合你。不需要太深的基础只要会打开群晖的Docker界面跟着步骤走就能跑起来。1. 先搞清楚为什么是nps npc Docker 群晖1.1 没有公网IP时内网穿透是怎么解决远程访问的绝大多数家用宽带现在分不到真正的公网IP运营商给的是一个内网地址DDNS在这种环境下基本失效。你就算把域名解析做对了流量也进不了家里的路由器。内网穿透的基本思路就是让内网的一台设备主动去连接一台有公网IP的服务器建立一条长连接通道。外部用户访问公网服务器上的某个端口时服务器把流量顺着这条通道转发到内网设备内网设备再转发给NAS上的具体服务。这样出方向的连接是由内网设备发起的所以不需要公网IP也不用在路由器上做端口映射。nps和npc就是这套模型里很经典的开源实现。服务端部署在有公网IP的机器上叫nps客户端部署在需要被访问的内网设备上也就是群晖NAS里叫npc。npc启动后主动连上nps之后你去访问nps服务器上的某个端口流量就会被导到NAS对应端口上。1.2 nps和frp怎么选frp应该是目前社区里知名度最高的方案配置灵活、文档也多。但frp的很多管理动作都要靠编辑配置文件来操作服务端加一个隧道、改一个端口要么改配置文件重载要么用frps的Dashboard但Dashboard只提供查看很多操作还是得在命令行完成。nps不同的地方是它自带一个完整的Web管理后台。新建客户端、添加隧道、查看流量、控制启停全部在浏览器里点就行。这个差别在日常使用中太重要了尤其是给朋友的公司或者家里部署一次之后以后维护基本不需要再登录到服务器上敲命令。我自己的选择标准是如果服务器上已经有完善的自动化管理工具frp完全够用但如果你希望有一个图形界面来管理所有穿透关系nps会更顺手。群晖用户大多习惯图形化操作所以用nps在体验上是更顺的。1.3 为什么用Docker而不是套件或直接二进制群晖上跑npc常见有三种方式在DSM里装第三方套件、手动执行二进制文件、用Docker容器运行。第三方套件的问题是更新不及时而且来源良莠不齐装之前要自己掂量安全性。直接执行二进制文件的问题是群晖系统升级后环境变化容易导致进程丢失而且没有托管机制崩溃了不会自动拉起来。Docker就解决了很多麻烦镜像里已经把运行环境打包好了群晖的Container ManagerDSM 7.2以前叫Docker套件会自动管理容器状态还能设置开机自启。就算以后要换机器只要导出配置再拉一次镜像几分钟能恢复。所以我一直推荐群晖上能用Docker的都尽量用Docker省心很多。2. 部署前必须搞懂的3个概念2.1 npc的工作模式客户端主动连接而不是服务端找上门这一点是整个穿透能否跑通的核心很多人配置了半天没成功就是没理解npc的通信方向。npc启动后是主动向nps的某个端口发起连接连接建立后会保持这条长连接。后面外部用户访问nps服务器上的端口时nps利用这条已经被建立的通道把请求转发给处在内网的npcnpc再转发给内网里的服务。这个模式的好处是群晖这边不需要公网IP不需要在路由器上做端口映射也不需要去改运营商拿公网IP。npc就像是你派出去的一个信使先跑到服务器那边等着有请求来了信使再把话传回来。理解了这一点你就会明白为什么npc的配置里最重要的是服务器地址和vkey连接密钥因为npc启动时就要靠这两个信息找到nps并证明自己的身份。如果nps服务器地址填错、端口填错或者vkey不对npc要么连不上要么被服务端拒绝整条链路建立不起来。2.2 网络模式host还是bridgeDocker容器跑起来之后有几张可选的网络模式桥接模式、host模式、macvlan等。群晖默认创建容器时通常选桥接模式但npc这个场景下我建议直接用host模式。原因很简单。npc工作中需要监听一些本地端口比如在群晖上开启某个穿透时npc会在本机监听一个端口然后把收到的流量转给另一个内网服务端口。如果用桥接模式这些监听端口会落在容器内部群晖宿主机要把流量转发进去就需要额外做端口映射。npc的端口是动态的每建一个隧道就要映射一个端口维护起来非常别扭。host模式下容器直接使用宿主机的网络栈npc监听端口就等同于在群晖本机监听端口。配置更直观也不容易出端口对应错乱的问题。代价是容器不具备网络隔离性但对于群晖这样一个需要长期运行、本身就是单一主机的场景这个代价可以接受。2.3 几个绕不开的端口和参数nps服务端默认有几个关键端口理解它们的用途对排查问题很有帮助8080nps的Web管理后台端口你登录后台添加客户端、配置隧道都走这个端口。8024nps与npc之间的通信端口。npc启动时主动连接的就是这个端口这是整个穿透链路的基础通道。隧道业务端口你在nps后台给某个客户端添加隧道时指定的服务端监听端口比如想通过服务器上的8000端口访问家里的NAS这就是一个业务端口。npc连接nps时用到的关键参数主要是三个-server指定nps服务器的域名或IP加上通信端口、-vkey填写nps后台创建的客户端密钥、-type指定连接类型。有的场景下还会用到-tls_enabletrue当nps开启了TLS时才需要一般内网穿透场景如果不特意配置默认不用加。在Docker里落地时这些参数可以以命令行的形式传给容器也可以通过配置文件挂载的方式传入。不同镜像支持的方式略有差异但思路都是一样的把nps服务端给你的连接信息交给npc。3. 群晖上用Docker跑起npc的完整步骤3.1 第一步确认Docker环境群晖从DSM 7.2开始在套件中心里叫Container Manager老版本叫Docker。打开套件中心搜索Container Manager或者Docker如果没安装就先安装这个操作很基础几分钟就能完成。装好之后先检查一下硬件架构。群晖的主流机型分x86_64和ARM架构两种家用比较常见的DS220、DS920都是x86_64像DS420j这类低端家用机型很多是ARM。架构决定了你要拉哪个平台的镜像这个信息可以在控制面板的「信息中心」里查到。拉错架构的镜像容器可能启动报错或者根本无法运行。另外建议把Container Manager升级到最新版因为不同版本创建容器时界面有些差异如果在网上查资料别人用的界面和你不一样很容易对不上。更新到最新版至少能保证大部分找到的教程界面是匹配的。3.2 第二步获取npc连接凭证npc不能自己凭空连接nps必须在nps后台先创建一个客户端拿到对应的vkey。这个操作在nps的Web管理后台里进行打开8080端口的管理界面登录后在「客户端」页面点击新增客户端。新建客户端时注意几个地方基本验证里填一个备注方便区分设备比如家里NAS压缩、加密这些选项按需开启如果两台机器之间的流量要走公网建议开启加密最重要的字段是「唯一验证密钥」也就是vkey这个值可以手动指定一个复杂一点的字符串也可以让系统自动生成。创建完成后客户端列表里会显示这个vkey复制保存后面配置npc要用。这里有一个很常见的认知误区很多人以为npc是客户端随便填个密码就能用。实际上nps后台不先创建客户端npc拿着任何vkey去连都会失败。所以顺序上一定要先有nps先有vkey再配置npc。3.3 第三步拉镜像并创建容器npc的Docker镜像社区里比较常见的有yisier1/npc、edwynn/npc等功能上没有本质区别选一个star多的即可。这里以yisier1/npc为例因为它的启动参数覆盖比较全文档也比较清楚。打开Container Manager到「注册表」页面搜索npc找到你想用的镜像双击下载。下载完成后选中镜像点击「启动」进入创建容器向导。在「常规设置」里容器名称随便填比如npc。最关键的一步是「高级设置」里的网络这里必须手动改成host模式。群晖的Container Manager界面里点击「使用与宿主机相同的网络」选项这对应Docker的host网络。如果不改默认走bridge后面端口管理会很麻烦。接下来配置启动命令。不同镜像的处理方式略有不同但普遍支持在「命令」一栏直接填写npc的启动参数。比较典型的写法是-serveryour-nps-domain.com:8024 -vkeyyour-vkey -typetcp把your-nps-domain.com换成你nps服务器的地址把your-vkey换成刚才在nps后台获取的vkey。如果nps开启了TLS还需要在命令末尾加上-tls_enabletrue。然后在「存储空间」里通常需要把npc的配置文件目录挂载出来因为有的镜像会写入配置或日志。在群晖本地新建一个文件夹比如/docker/npc/conf在容器配置界面添加文件夹映射挂载路径根据镜像文档决定。还有-log路径也可以挂载出来方便查看运行日志。最后确认无误后点击「应用」创建容器。如果创建成功容器会自动启动。群晖的Container Manager会在容器状态里显示运行中这个还不代表穿透已经通了还需要看日志确认npc确实连上了nps。3.4 第四步验证穿透是否生效容器创建完之后先在Container Manager里双击这个容器进入「日志」页面。能看到类似Successful connection或者connect to server success之类的日志说明npc已经成功连上nps。如果反复报错按后面常见问题的思路排查。npc连上nps之后还需要在nps后台添加隧道规则穿透才算真正建立起来。比如你想通过服务器的8000端口访问群晖的Web界面默认5000端口就在nps后台找到对应的客户端点击「添加隧道」选择TCP隧道服务端端口填8000内网目标填127.0.0.1:5000提交后隧道规则生效。然后从外网访问http://你的服务器IP:8000如果能打开群晖的登录界面说明整条链路已经完全打通。如果打不开大概率是服务器防火墙没有放行8000端口或者nps服务的防火墙规则没更新。这里提醒一下隧道里的内网目标在npc和nps在同一个容器网络下可能要用宿主机IP而不是127.0.0.1但因为我们前面选了host网络npc直接跑在群晖宿主机的网络栈里127.0.0.1指的就是群晖本机所以填127.0.0.1是没问题的。如果选了bridge模式这个地址就要填群晖在Docker网桥里的IP一般是172.17.0.1之类很容易搞混这也是我坚持用host模式的原因。3.5 附用docker-compose管理npc容器的一种方式虽然群晖的Container Manager图形界面已经很好用了但有些场景下用docker-compose会更方便尤其是你还有Portainer这类工具或者需要在多台设备上保持相同配置时。假设你已经在群晖上开启了SSH可以先创建一个docker-compose.yml文件内容大概是这样version: 3 services: npc: image: yisier1/npc container_name: npc restart: unless-stopped network_mode: host command: - -serveryour-nps-domain.com:8024 - -vkeyyour-vkey - -typetcp volumes: - /volume1/docker/npc/conf:/conf然后在docker-compose.yml所在目录执行docker compose up -d就能启动。restart: unless-stopped这个策略很关键它保证群晖重启后容器会自动跟着启动不用每次手动去点。群晖的Container Manager现在也支持「项目」功能可以在界面上传这个docker-compose.yml文件来创建容器不一定非要开SSH操作。我个人习惯用SSH加compose文件来管理因为后续改参数、看版本、备份都方便而且一套配置可以在多台群晖之间复制。4. 实际使用中的常见问题与排查实录4.1 容器一直重启日志里反复报错这是npc部署后最常见的现象。容器创建完状态一直在「退出」和「运行中」之间来回跳点进去看日志常见的有这几种第一种是connection refused说明npc根本连不上nps服务器的8024端口。排查顺序是先ping一下nginx服务器地址能不能通再确认服务器防火墙是否放行了8024端口最后确认nps服务端确实在运行、确实监听8024。如果用的是云服务器还要检查安全组规则这个经常被遗漏。第二种是vkey incorrect之类的认证失败说明vkey填错了或者nps后台对应的客户端已经被删除。重新核对nps后台生成的vkey注意复制的时候不要带多余空格。Docker容器的command参数里如果值里有特殊字符要注意转义。第三种是容器启动后立刻退出但日志里什么都没打印就结束了。这种情况大概率是启动命令格式有问题比如-server前有空格、参数之间用了中文逗号、或者镜像名不对导致拉到了别的程序。把command简化到最短先只填-server和-vkey测试确认能跑通后再添加其他参数。4.2 隧道显示在线但外网就是访问不了内网服务这个问题的排查点往往不在npc而在内网目标的地址和端口。nps后台添加隧道时内网目标如果填错了隧道状态再怎么正常也没用。比如你想访问群晖的Web界面内网目标填的是192.168.1.10:5000但这个IP是群晖在路由器上拿到的地址如果群晖的IP后来变了这个目标地址就失效了。最稳妥的办法是把群晖在路由器或者DSM里绑定一个固定IP或者直接在nps隧道里填127.0.0.1:5000。另一种情况是服务本身监听的是内网地址而不是所有接口。比如群晖上某个服务只监听了127.0.0.1端口那么npc转发过去时也要用127.0.0.1去连不能填群晖的局域网IP。这个细节在访问Docker容器里跑的服务时尤其容易遇到容器端口没有映射到宿主机上npc自然连不上。还有一点隧道添加成功后要检查nps服务端防火墙和安全组业务端口没有被放行的话外部流量根本到不了nps。4.3 端口冲突与防火墙npc在host模式下运行时监听端口和群晖上其他服务用的端口不能冲突。比如你想在nps后台添加一个TCP隧道服务端端口填5000从服务器访问时没问题但如果npc在本地也需要监听某个端口而那个端口已经被群晖的某个套件占用了npc就启动不了或者运行时报address already in use。排查端口冲突可以在群晖SSH里执行netstat -tlnp看一下当前占用端口的情况。也可以在Container Manager日志里找bind相关的报错。解决方法是换一个端口或者先停掉占用端口的那个套件。群晖本身的防火墙也值得检查一下。如果DSM防火墙开启它默认可能会拦截npc出方向的连接虽然大多数情况下放行了内部网络但为了保险可以在防火墙规则里放行从群晖到nps服务器IP/端口的流量白名单方式更精确。4.4 关于DSM版本和Container Manager的注意事项DSM 7.0之前群晖的Docker套件是老版本创建容器的流程和现在不太一样很多老教程里写的界面和现在对不上。DSM 7.2之后全面改成了Container Manager新增了「项目」功能对docker-compose的支持也更好了。如果你用的是旧版DSM建议先去套件中心更新到最新版。另一个容易踩坑的是群晖系统升级后部分老镜像可能因为内核版本变化无法正常启动。尤其是一些基于较老基础镜像构建的npc镜像升级DSM后可能出现容器无法启动、报segmentation fault之类的问题。遇到这种情况直接拉一个新的镜像版本重新创建容器一般能解决。还有一点群晖的Docker镜像目录默认在系统分区装太多镜像会占用系统存储。把镜像和容器配置放在存储空间大的硬盘上也值得注意在Container Manager的设置里可以把Docker根目录改到大容量存储卷。5. 部署完成后的进阶玩法与安全建议5.1 不止是远程桌面npc隧道在群晖上的几种实用场景穿透跑通之后能做的事情比想象中多很多。最基础的场景是远程访问群晖的Web界面在外面用浏览器就能管理下载任务、看照片、上传文件。这个场景只要一条TCP隧道就能满足。第二个常用场景是外部设备的远程桌面。比如你家里还有一台Windows电脑想在办公室远程连过去处理一些事情可以在群晖上通过隧道把Windows的3389端口映射出去。由于npc运行在群晖上相当于群晖成为了内网所有服务的统一入口你想要哪个服务被外面访问到就往nps上添加一条指向对应内网IP和端口的隧道即可。群晖上跑着的其他服务比如Git仓库、影音库、智能家居控制端都可以用同样的方式暴露出去。第三种是HTTP/HTTPS隧道。nps支持HTTP隧道可以在nps后台绑定域名让外部用户通过域名访问你家里的Web服务。这个场景适合那些不想记端口、想用域名区分服务的情况。配合nps的HTTP解析功能一个服务端端口能对应多个域名比直接用TCP隧道要清爽。5.2 多客户端、多设备统一管理nps的Web后台支持创建多个客户端每个客户端可以属于一台设备。家里不仅有群晖还有一台Linux服务器、一台树莓派那就创建三个客户端每个客户端有独立的vkey和隧道列表。这个设计在管理上非常有用。你可以一眼看到所有设备的在线状态、流量消耗、隧道列表。某个设备掉线了日志里能直接看到。不需要登录每台设备的命令行去查这是比frp更直观的地方。群晖这边跑的是npc可以保持一个长期运行的状态。如果以后有多台群晖每个群晖都创建一个独立客户端vkey不同隧道互不影响管理界面里按备注区分非常清晰。5.3 安全加固别让穿透变成了后门内网穿透说到底就是把内网服务暴露到公网安全上一定要处理好否则等于给自己开了一个没上锁的大门。几个基础但不该省略的操作vkey一定要用足够复杂的随机字符串不要用默认密码、生日数字这类弱口令。vkey一旦泄露等于别人可以随意在nps上挂一台客户端。nps后台的登录密码一定要改掉不要用默认的admin/admin改成强度够高的密码最好再加个两步验证。尽量给隧道开加密和压缩。nps创建客户端时勾选加密选项能降低流量被中间人窃听的风险。不要把不必要的服务暴露出去。只开你确实需要远程访问的端口用完可以临时在nps后台停掉对应隧道。如果nps服务器在云上阿里云、腾讯云的防火墙安全组尽量只放行必要的端口别图省事全部放行。5.4 镜像更新与日常维护镜像更新是Docker部署绕不开的话题。npc镜像出现新版本通常意味着bug修复或新功能支持。更新流程不复杂先在Container Manager里停掉当前npc容器然后重新拉取最新镜像再启动容器。注意观察启动命令和挂载配置有没有变化如果有需要一并调整。日常维护不用太频繁每周或者每月看一眼nps后台的客户端在线状态就够了。流量异常增长、隧道状态报警这些都是排查安全问题的重要线索。另外如果群晖重启过npc容器没有自动启动优先检查容器的「重启策略」设置。Container Manager里创建容器时高级设置里有重启策略选项选除非停止后总是重启就能保证群晖开机后npc自动恢复连接。——这套方案我已经在朋友家的群晖上稳定跑了大半年npc容器基本没出过幺蛾子。要说最值得记住的经验就两条一是创建容器时一定记得切host网络这是后期省心的关键二是先把nps后台的客户端和证准备好再配置npc。只要这两点做对剩下的就是按部就班填参数的事。群晖上用Docker跑npc说到底就是把一个内网设备变成可远程管理的节点真正用起来之后你会发现它能解决的问题比想象中要多。