内网穿透五种方案横评：从 Tailscale 到 Cloudflare Tunnel
想在外面访问家里的服务，五条路线各有取舍。安全模型、速度、稳定性与配置成本逐项对比。
家里的服务装好了，出门在外想用却打不开，这是很多人遇到的第一个坎。内网穿透的方案不止一种，选错了会长期难受。
五种方案速览
| 方案 | 配置难度 | 速度 | 是否需要公网 IP | 典型场景 |
|---|---|---|---|---|
| 组网型（Tailscale / 类似方案） | 低 | 中高 | 否 | 自己访问自己的设备 |
| 隧道型（Cloudflare Tunnel） | 低 | 中 | 否 | 给他人访问的网站 |
| 反向代理 + 公网服务器 | 高 | 高 | 需要中转机 | 有备案域名的正式站点 |
| 端口映射（IPv6） | 中 | 高 | 需要 IPv6 | 家庭宽带有 IPv6 |
| 第三方付费穿透 | 最低 | 视套餐 | 否 | 临时演示 |
组网型：体验最好的起点
这类方案会在你的设备之间建一条虚拟内网，登录账号即可互通。优点是配置极简、加密到位；缺点是别人要访问，得先加入你的网络，适合「自己用」。
隧道型：把服务安全地暴露出去
隧道方案由云厂商负责对外入口，你只需要在内网跑一个客户端。好处是不用开端口、不用公网 IP，自带证书；要注意的是流量经过第三方，敏感服务不建议直接暴露。
反向代理：最可控也最费事
自己买一台小服务器做中转，用 nginx 反代到家里。完全可控，速度取决于中转机带宽，但要自己处理证书续期、防爆破和监控。
选择建议
- 只用自己访问：组网型；
- 要给朋友看或做演示：隧道型；
- 有备案域名、追求可控：反向代理；
- 家庭有 IPv6：端口映射 + 防火墙白名单，其实最省心。
最后提醒一句：无论用哪种方式，暴露到公网的服务都要改默认端口、开强密码、并开启登录失败锁定。