0. 目标#

采用 模式 B：

阿里云服务器部署 frps
树莓派部署 frpc
域名 ssh.example.com 解析到阿里云服务器公网 IP
阿里云服务器自己的 SSH 继续使用 22 端口
树莓派 SSH 映射到阿里云服务器的 6000 端口
最终外网连接方式：

1
ssh -p 6000 ubuntu@ssh.example.com

说明：DNS 只能解析域名到 IP，不能解析端口。因此模式 B 不能直接省略 -p 6000。可以通过本机 ~/.ssh/config 做别名，最终使用 ssh lab-pi 简化连接。

frp 的官方 SSH 示例就是：在公网服务器部署 frps，内网机器部署 frpc，用 tcp 类型代理把公网端口转发到内网 SSH 服务。

1. 域名配置#

假设：

1
域名：ssh.example.com阿里云服务器公网 IPv4：1.2.3.4

在阿里云 DNS 控制台添加解析记录：

1
记录类型：A主机记录：ssh记录值：1.2.3.4 TTL：默认或 600 秒

阿里云 DNS 文档说明，A 记录用于把域名解析到指定 IPv4 地址；添加记录的位置是 Public Zone 页面中的目标域名设置页。

验证解析：

1
dig ssh.example.com +short

预期输出：

1
1.2.3.4

如果没有 dig：

1
nslookup ssh.example.com

2. 阿里云安全组 / 防火墙配置#

需要开放以下端口：

端口	协议	用途
`22`	TCP	阿里云服务器自身 SSH 登录
`7000`	TCP	`frps` 接收树莓派 `frpc` 连接
`6000`	TCP	外网 SSH 到树莓派的入口端口

如果是 ECS，在安全组中添加入站规则。阿里云 ECS 安全组用于控制实例入站和出站流量，SSH 场景通常需要放行对应 TCP 端口。

如果是 轻量应用服务器，在实例防火墙里添加端口规则。阿里云轻量应用服务器的防火墙规则用于控制入站流量。

建议：

1
22/tcp   来源限制为你的固定公网 IP
2
7000/tcp 来源可以先 0.0.0.0/0，后续最好限制为学校出口 IP 或保留 token 认证
3
6000/tcp 来源可以 0.0.0.0/0，但树莓派 SSH 必须使用密钥登录并禁用密码

3. 版本选择#

本文示例使用：

1
frp v0.69.1

GitHub Releases 页面显示 v0.69.1 为当前 Latest 版本，且提供 linux_amd64、linux_arm64、linux_arm 等构建包。

frp 从 v0.69.0 开始有明确的兼容策略，建议 frps 和 frpc 尽量使用同一版本。

后续如果版本更新，只需要替换下面命令中的：

1
FRP_VERSION="0.69.1"

4. 阿里云服务器部署 frps#

4.1 登录阿里云服务器#

1
ssh root@ssh.example.com

或者：

1
ssh root@1.2.3.4

4.2 安装基础工具#

1
sudo apt update
2
sudo apt install -y wget tar vim curl openssl

4.3 下载 frp#

阿里云服务器一般是 x86_64 / amd64 架构，先确认：

1
uname -m

如果输出是：

1
x86_64

执行：

1
cd /tmpFRP_VERSION="0.69.1"
2
wget "https://github.com/fatedier/frp/releases/download/v${FRP_VERSION}/frp_${FRP_VERSION}_linux_amd64.tar.gz"
3
tar -xzf "frp_${FRP_VERSION}_linux_amd64.tar.gz"
4
sudo mkdir -p /opt/frpsudo
5
cp "frp_${FRP_VERSION}_linux_amd64/frps" /opt/frp/sudo
6
chmod +x /opt/frp/frps

检查版本：

1
/opt/frp/frps --version

4.4 生成认证 token#

1
openssl rand -hex 32

示例输出：

1
6e8f7b0c0e2d8c0d7c6a9f5e2a1b3c4d5e6f7a8b9c0d1e2f33445566778899aa

后面 frps.toml 和 frpc.toml 里的 auth.token 必须保持一致。

4.5 创建 frps 配置#

1
sudo vim /opt/frp/frps.toml

写入：

1
bindPort = 7000
2
auth.method = "token"
3
auth.token = "替换成你生成的随机token"
4

5
transport.tls.force = true

说明：

bindPort = 7000：frps 监听 7000，等待树莓派上的 frpc 主动连接。
auth.method = "token"：启用 token 认证。
transport.tls.force = true：强制 frpc 到 frps 的连接使用 TLS。

frp 官方 SSH 示例中，frps 侧通过 bindPort = 7000 接收内网客户端连接。

4.6 创建 systemd 服务#

frp 官方文档推荐在 Linux 上使用 systemd 管理 frps，用于后台运行、启动、停止和开机自启。

创建服务文件：

1
sudo vim /etc/systemd/system/frps.service

写入：

1
[Unit]
2
Description=frp server
3
After=network.target
4

5
[Service]
6
Type=simpleExecStart=/opt/frp/frps -c /opt/frp/frps.toml
7
Restart=always
8
RestartSec=5
9

10
[Install]
11
WantedBy=multi-user.target

启动服务：

1
sudo systemctl daemon-reload
2
sudo systemctl enable --now frps
3
sudo systemctl status frps

查看日志：

1
sudo journalctl -u frps -f

4.7 检查 frps 是否监听 7000#

1
sudo ss -lntp | grep 7000

预期能看到 frps 正在监听：

1
LISTEN 0  ...  *:7000  ...

5. 树莓派部署 frpc#

5.1 登录树莓派#

在学校内网或已有方式登录树莓派：

1
ssh ubuntu@树莓派内网IP

5.2 安装基础工具#

1
sudo apt update
2
sudo apt install -y wget tar vim curl openssl

5.3 确认树莓派架构#

1
uname -m

常见结果：

输出	使用包
`aarch64`	`linux_arm64`
`armv7l`	`linux_arm`
`x86_64`	`linux_amd64`

大多数 64 位 Ubuntu 树莓派是：

1
aarch64

5.4 下载 frpc#

如果树莓派是 aarch64：

1
cd /tmpFRP_VERSION="0.69.1"
2
wget "https://github.com/fatedier/frp/releases/download/v${FRP_VERSION}/frp_${FRP_VERSION}_linux_arm64.tar.gz"
3
tar -xzf "frp_${FRP_VERSION}_linux_arm64.tar.gz"
4
sudo mkdir -p /opt/frp
5
sudo cp "frp_${FRP_VERSION}_linux_arm64/frpc" /opt/frp/
6
sudo chmod +x /opt/frp/frpc

检查版本：

1
/opt/frp/frpc --version

如果树莓派是 armv7l，把下载包改成：

1
wget "https://github.com/fatedier/frp/releases/download/v${FRP_VERSION}/frp_${FRP_VERSION}_linux_arm.tar.gz"
2
tar -xzf "frp_${FRP_VERSION}_linux_arm.tar.gz"
3
sudo cp "frp_${FRP_VERSION}_linux_arm/frpc" /opt/frp/

5.5 确认树莓派 SSH 服务正常#

1
sudo systemctl status ssh || sudo systemctl status sshd

确认本机 22 端口监听：

1
sudo ss -lntp | grep ':22'

本机测试：

1
ssh localhost

如果树莓派本机 ssh localhost 都失败，先修复树莓派 SSH 服务。

5.6 创建 frpc 配置#

1
sudo vim /opt/frp/frpc.toml

写入：

1
serverAddr = "ssh.example.com"serverPort = 7000
2
auth.method = "token"
3
auth.token = "替换成和frps完全一致的随机token"
4
transport.tls.enable = true
5

6
[[proxies]]
7
name = "raspi-ssh"
8
type = "tcp"
9
localIP = "127.0.0.1"
10
localPort = 22
11
remotePort = 6000

说明：

serverAddr = "ssh.example.com"：连接阿里云服务器域名。
serverPort = 7000：连接阿里云服务器 frps 的控制端口。
localIP = "127.0.0.1"：树莓派本地。
localPort = 22：树莓派本地 SSH 服务端口。
remotePort = 6000：阿里云服务器公网暴露的端口。
最终外网访问 ssh.example.com:6000，会被转发到树莓派 127.0.0.1:22。

frp 官方文档说明，通过简单的 tcp 类型代理配置，可以从外部访问内网机器的 SSH 服务；示例也是将公网服务器端口转发到内网机器的 22。

5.7 创建 systemd 服务#

1
sudo vim /etc/systemd/system/frpc.service

写入：

1
[Unit]
2
Description=frp client
3
After=network-online.target
4
Wants=network-online.target[Service]Type=simpleExecStart=/opt/frp/frpc -c /opt/frp/frpc.toml
5
Restart=always
6
RestartSec=5
7

8
[Install]
9
WantedBy=multi-user.target

启动服务：

1
sudo systemctl daemon-reload
2
sudo systemctl enable --now frpc
3
sudo systemctl status frpc

查看日志：

1
sudo journalctl -u frpc -f

如果连接成功，日志里应该能看到类似：

1
login to server successproxy added: raspi-sshstart proxy success

6. 外网 SSH 连接树莓派#

在任意外网电脑执行：

1
ssh -p 6000 ubuntu@ssh.example.com

其中：

1
ubuntu = 树莓派上的用户名ssh.example.com = 解析到阿里云服务器公网 IP 的域名6000 = frp 映射出来的公网端口

如果树莓派用户名是 pi：

1
ssh -p 6000 pi@ssh.example.com

7. 配置 SSH 别名#

为了避免每次输入 -p 6000，在你的外网电脑上编辑：

1
vim ~/.ssh/config

加入：

1
Host lab-pi
2
  HostName ssh.example.com
3
  Port 6000
4
  User ubuntu
5
  ServerAliveInterval 30
6
  ServerAliveCountMax 3

之后可以直接：

1
ssh lab-pi

如果还要通过树莓派跳到实验室内网其他服务器，例如 192.168.1.100：

1
Host lab-pi
2
  HostName ssh.example.com
3
  Port 6000
4
  User ubuntu
5
  ServerAliveInterval 30
6
  ServerAliveCountMax 3
7

8
Host lab-server-1
9
  HostName 192.168.1.100
10
  User your_user
11
  ProxyJump lab-pi

连接内网服务器：

1
ssh lab-server-1

8. 推荐安全加固#

8.1 树莓派禁用密码登录#

确认你的公钥已经能登录树莓派后，再执行：

1
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.baksudo
2
vim /etc/ssh/sshd_config

建议设置：

1
PubkeyAuthentication yes
2
PasswordAuthentication no
3
PermitRootLogin no

重启 SSH：

1
sudo systemctl restart ssh || sudo systemctl restart sshd

重新测试：

1
ssh -p 6000 ubuntu@ssh.example.com