概述

FRP是一款高性能的内网穿透工具，能够将内网服务通过公网服务器暴露给外部访问。结合宝塔面板的图形化管理界面，运维人员可以快速部署FRP服务端和客户端，并实现精细化的端口权限管控，避免未授权访问带来的安全风险。本文介绍基于宝塔面板的FRP搭建流程及端口权限管理方法。

环境准备

部署前需准备：一台拥有公网IP的服务器（已安装宝塔面板）、一个用于服务端管理的域名（可选）、以及需要穿透的内网服务器。FRP最新版本可从GitHub官方仓库获取，本文不限定具体版本号，建议使用稳定版。

部署FRP服务端

在公网服务器上操作：

• 下载FRP服务端压缩包并解压至目录，例如 /opt/frp。
• 编辑配置文件 frps.ini，设置基础参数：
  [common]
bind_port = 7000
token = your_secure_token
  其中 bind_port 为服务端监听端口，token 用于客户端认证。
• 通过宝塔面板的“网站”功能添加反向代理站点，代理服务端Dashboard端口（如7500），并申请SSL证书以保障管理界面安全。
• 在宝塔安全组放行 bind_port 及Dashboard端口。使用 systemd 或宝塔计划任务实现FRP服务端开机自启。

部署FRP客户端

在内网服务器上操作：

• 下载FRP客户端压缩包解压至目标目录。
• 编辑 frpc.ini，示例如下：
  [common]
server_addr = 公网服务器IP
server_port = 7000
token = your_secure_token

[web]
type = tcp
local_ip = 127.0.0.1
local_port = 8080
remote_port = 8080
  其中 server_addr 和 server_port 对应服务端配置，token 必须与服务端一致。
• 启动客户端并验证连接，通过公网IP加remote_port即可访问内网服务。

端口权限管控方案

Token认证

在服务端和客户端的 [common] 中配置相同的 token，只有携带正确Token的客户端才能连接，这是最基础的身份验证。建议使用随机生成的长字符串，提升安全性。

端口白名单

FRP服务端支持 allow_ports 配置，仅允许映射指定的端口号或端口范围。例如：
allow_ports = 80,443,3000-3999
这能有效防止客户端滥用随机端口映射，降低攻击面。

用户隔离与多租户

通过FRP Dashboard（需在服务端配置 dashboard_port 和 dashboard_user/pwd）可查看所有连接的客户端及映射列表。若需为不同客户提供独立权限，可借助FRP商业版或第三方插件（如frp-plugin）实现用户分组和配额管理，也可结合系统iptables或nftables对客户端IP做来源限制。

结合宝塔防火墙增强管控

在宝塔面板的“安全”功能中，对FRP服务端口（如7000）设置IP白名单，仅允许指定内网或信任的客户端IP访问。同时开启系统防火墙，仅放行必要的端口，减少暴露面。对于已映射的代理端口，可利用宝塔Nginx防火墙的CC防护、UA过滤等规则进一步增强安全。

总结

宝塔面板简化了FRP的部署与运维，通过Token认证、端口白名单、多租户隔离以及系统防火墙的组合策略，可以构建安全可控的内网穿透环境。建议定期更新FRP版本，并审计映射记录，及时发现异常访问。合理的权限管控是保障企业内网资产安全的关键环节。