有动态公网的情况下怎么穿透家里的网络

[ldy619354397]

虽然说可以用 DDNS+端口映射访问到家里的服务器，但是总感觉不安全，想通过 VPN 加密的方式访问家里网络，再通过内网访问家里的服务器，有什么比较好的方案，硬件和软件需要什么？

[xcodeghost]

有群晖（其他 NAS ）的话，用群晖的 VPN 。没有的话，路由器有没有 VPN ，还是没有的话，买个迷你小主机吧

[ldy619354397]

@xcodeghost 用迷你小主机做旁路由吗

[cccer]

如果是 IPV6 我觉得 DDNS 没什么问题，IPV4 可以用 EasyTier 组网

[vvard3n]

Tailscale

[S0lution]

可以 easytier 组网，防火墙设好只开几个端口，我目前就是 ddns 的 ipv6 ，连爆破都没遇到过，如果是单机器的话我觉得最主要还是设好防火墙，ddns 的 ipv6 这条路线没什么问题的

[Danfi]

我是用的 ZeroTier ，路由器里也能装这个插件，电脑，收集都有客户端

[Danfi]

手机

[xhcnb]

部署 strongswan ikev2/ipsec 服务, 手机系统自带 vpn 拨号回去就是了

[yinmin]

有公网 ip ，web 服务直接用 https(客户端证书双向认证的 mtls)，ios/android/win/mac 浏览器直接支持，不需要第三方插件，安全性极高。

vpn 选 ipsec/l2tp 优势是操作系统内置客户端，ios/android/win/mac 不需要安装软件直接能用。

再部署 socks5+tls/mtls ，能直接在手机软件里加分流规则。

[luckyscript]

部署一个 ss 的服务端，翻回家。配置好策略后，甚至可以直接通过内网 ip 直接访问家里其他的设备。目前我是这么玩的。

[momocraft]

zerotier / tailscale （适合固定设备）

cloudflare tunnel （可以套一层 cf access 实现 2FA ，适合可能需要用别人设备的情况）

[cornorj6]

ddns+端口作为 openvpn 的端口，通过 openvpn 就能内网访问家里的服务器了。

[mm2x]

我都是 openVPN 回家

[N6R91zIxLm37099s]

https://tailscale.com/

[breer]

我用 wireguard

[Autonomous]

跟楼主分享一下我现在的做法
网络环境是 IPv4 公网+v6 公网
硬件是 NAS ，UniFi 的网关路由器
买了一个域名，根域名不设解析，随机生成一个 24 位子域名并设解析，在 NAS 上跑一个 DDNS 脚本定期上报 v4 和 v6 地址给域名托管商。

NAS 里装一个 Docker ，起一个 3X-UI 镜像，设一个 VLESS+Reality+Vision 入站连接（偷微软），在网关防火墙放行入站端口（仅限 IPv6 ）

手机、电脑等设备安装 Loon 、FlClash 等，通过随机生成的子域名连接自建的 VLESS+Reality+Vision ，启用 IPv6 并做好分流，可以同时完成回家+科学上网

以上做法的特点：
1. 不开放 IPv4 入站，所以公网扫描不进来。IPv6 地址空间太大也找不到我
2. 根域名不解析，只有随机超长子域名解析，难以遍历
3. VLESS+Reality+Vision 难以识别特征，而且 Target 偷微软，抗攻击者和运营商的探测
4. 纯 TCP ，不存在 WireGuard 、传统 VPN 等 UDP 的 QoS 问题

我的运营商每隔几天就给我换 IP ，想要长期追踪+画像也不可能。
整套系统下来极其完美。

[Autonomous]

@Autonomous 隔段时间再换随机子域名、VLESS 的密钥、ShortID 、UUID ，简直安全的不得了，Fail2ban 都卸了，完全用不着。

[n43635]

Tailscale 或者 openvpn 这类的都可以，不过安卓上可能会和翻墙软件有冲突，所以我自己用的是 SSH 隧道，很多软件都支持 ssh 隧道配置，可以做到类似直连的使用。ssh 的话禁用密码改用秘钥+换端口还是比较安全的，保护好秘钥就行

[4NF]

easytire

[TimG]

openVPN 用密钥登录比较安全快捷，不同设备不同密钥，丢失设备可以随时吊销密钥