FRP项目SSH内网穿透配置问题排查指南

问题背景

在使用FRP进行内网穿透时，用户配置了frps（服务端）和frpc（客户端）以实现通过公网访问内网SSH服务。虽然服务端和客户端日志均显示启动成功，但实际通过SSH连接时却遭遇"Connection refused"错误。本文将系统性地分析此类问题的常见原因及解决方案。

典型配置示例

标准的内网SSH穿透配置通常包含以下关键参数：

服务端frps.toml

bindPort = 7000  # 服务端监听端口

客户端frpc.toml

serverAddr = "x.x.x.x"  # 公网服务器IP
serverPort = 7000       # 对应服务端端口

[[proxies]]
name = "ssh"
type = "tcp"
localIP = "192.168.x.x" # 内网机器IP
localPort = 22          # 本地SSH端口
remotePort = 6000       # 公网暴露端口

常见问题排查要点

1. 网络端口连通性检查

• 防火墙规则：确保公网服务器的6000端口在安全组/防火墙中已放行
• 端口占用检测：使用netstat -tulnp | grep 6000确认端口未被其他进程占用
• 网络可达性：通过telnet 公网IP 6000测试基础网络连通性

2. FRP服务验证

• 日志完整性检查：确认服务端和客户端日志均包含"proxy start success"类关键信息
• 版本一致性：建议客户端和服务端保持相同FRP版本以避免兼容性问题
• 配置验证：特别注意localIP应设置为127.0.0.1（当frpc与SSH服务同机时）或实际内网IP

3. 系统级问题排查

• SELinux影响：临时禁用SELinux测试是否策略限制导致setenforce 0
• SSH服务配置：检查/etc/ssh/sshd_config是否允许远程连接（默认通常已开启）
• 系统资源限制：通过ulimit -n检查文件描述符限制是否足够

深度问题分析

当出现连接被拒绝但FRP日志显示正常时，需要特别关注：

1. NAT穿透问题：某些网络环境存在多层NAT，需要额外配置UDP心跳保持
2. 连接跟踪超时：可尝试在frpc配置中添加transport.tcpKeepAlive = 60参数
3. 系统环境异常：如用户反馈中提到的案例，重装系统后问题解决，提示可能存在系统底层网络栈异常

最佳实践建议

1. 测试时建议先使用简单TCP服务（如nc）验证通道建立
2. 采用分步调试法：先确保FRP通道建立，再测试SSH服务
3. 生产环境建议配合systemd等守护进程管理FRP服务
4. 考虑使用加密隧道或HTTPS封装提升安全性

总结

FRP作为高效的内网穿透工具，其SSH穿透功能在配置正确时应当稳定可靠。遇到连接问题时，建议按照网络层→FRP层→系统层的顺序逐步排查。记录显示多数异常最终定位为网络策略或系统环境问题，而非FRP本身缺陷。保持组件版本一致性和完善的基础环境检查是避免此类问题的关键。