背景：内网穿透的安全挑战

1Panel作为开源的Linux服务器运维面板，集成了内网穿透功能，方便用户将本地服务暴露到公网。然而，默认配置下隧道流量以明文传输，登录凭据和业务数据存在被窃听和篡改的风险。尤其在公网环境下，未加密的隧道极易成为攻击者的突破口。

核心思路：通过加密密钥建立安全隧道

1Panel内网穿透基于frp实现，frp支持TLS加密和SSH隧道两种加密方式。通过配置自定义密钥（token）并启用TLS，可以显著提升隧道的机密性和完整性。

1. 生成强随机密钥

在服务器端执行以下命令生成128位随机密钥：

1. 使用openssl rand -hex 32生成256位十六进制密钥（64字符）。
2. 使用openssl rand -base64 24生成192位Base64密钥（32字符），更便于配置。

建议将密钥保存至安全位置，避免明文写入配置文件。

2. 配置1Panel的frps服务端

在1Panel面板中，进入“内网穿透”->“服务端”设置，修改以下参数：

• 认证方式：选择“Token”，填入步骤1生成的密钥。
• TLS：开启“启用TLS”，选择“自动证书”或上传自签名证书。
• 绑定端口：保持默认（如7000），也可更换为高位端口。

修改后重启frps服务，使配置生效。

3. 配置客户端frpc

在本地边缘设备（或服务器）上的frpc配置文件中，增加以下字段：

• server_addr：填写公网服务器IP。
• server_port：与frps的绑定端口一致。
• token：填写与frps相同的密钥。
• tls_enable = true：启用TLS加密。

示例配置片段：

[common]
server_addr = 203.0.113.10
server_port = 7000
token = your_generated_strong_key
tls_enable = true

保存后重启frpc客户端，通过日志确认TLS握手成功。

4. 验证加密链路

使用tcpdump -X或Wireshark抓包，检查传输内容中是否包含可读的明文业务数据。若TLS生效，所有数据均为密文。同时，在frps日志中会显示“tls handshake success”等记录。

安全加固建议

• 启用防火墙策略：仅放行frp绑定端口和业务端口，限制源IP白名单。
• 定期轮换密钥：建议每90天更新一次token，避免长期使用同一密钥。
• 禁用密码登录：在frps中关闭“allow_ports”的宽松模式，仅开放必要端口映射。
• 使用反向代理叠加HTTPS：在frp后端的本地服务前增加Nginx或Caddy，实现端到端双向加密。

总结

通过1Panel内网穿透模块配置强随机密钥和TLS加密，能够有效防止中间人攻击和流量嗅探，是暴露公网服务前必须执行的安全基线。配合防火墙和端口管理，可构建高安全性的远程访问通道。