先把服务器的内网 IP 固定住，再安装客户端并用同一账号登录，最后添加一条“内网主机 + 内网端口 → 外网域名 + 外网端口”的映射规则。 熟练的话十分钟内就能跑通；真正容易卡住的是端口监听、系统防火墙和域名备案这三件事,软件本身反而不是主要障碍。
花生壳内网穿透到底在解决什么问题
没有公网 IP 的服务器，怎么被外面访问
很多公司的服务器放在机房或者办公室机柜里，出口是运营商的光猫拨号，拿到的是内网地址或者运营商级 NAT 地址，这种情况下，路由器上做端口映射也没用，因为外网根本找不到这台机器，花生壳做的事情是：在你的服务器上运行一个客户端，由它主动向花生壳的中转服务器建立长连接，外部访问请求先到花生壳的域名,再顺着这条已经建好的隧道回传到内网服务器。
这个机制决定了两个特点，第一，不需要公网 IP，也不需要动路由器，只要服务器能正常上网就行，第二，速度受中转节点和套餐带宽限制,不是直连的物理带宽。
哪些场景适合，哪些不建议
| 场景 | 是否合适 | 说明 |
|---|---|---|
| 远程桌面管理服务器（3389） | 合适 | 延迟可接受，操作流畅度取决于带宽 |
| 内部 OA、测试站点、ERP 访问 | 合适 | 并发不高的内部系统体验较好 |
| SSH 运维、数据库远程连接 | 可用但需加固 | 建议改端口、限制来源 IP |
| 对外公开的高流量网站 | 不建议 | 带宽成本高，应走云服务器 + 备案域名 |
| 大文件传输、视频回传 | 不建议 | 中转链路带宽是瓶颈 |
行业共识认为，内网穿透是“让内部服务被有限人群访问”的工具，不是替代公网带宽的方案，把生产级高并发业务压在中转隧道上,最后一定会卡在带宽上。
Windows 服务器花生壳内网穿透设置步骤
第一步：把内网 IP 固定下来
这是最容易被跳过、也最容易出事的一步，如果服务器 IP 是 DHCP 自动获取的，某天重启后地址从 192.168.1.10 变成 192.168.1.23,映射规则就全部失效。
- 在路由器里做 DHCP 静态地址保留，把服务器网卡 MAC 和 IP 绑定；
- 或者直接在服务器网卡属性里手填 IP、子网掩码、网关和 DNS。
两种都行，选一种,别两个都不做。
第二步：确认服务端口真的在监听
在服务器上打开命令提示符,执行：
netstat -ano | findstr :3389看到 0.0.0:3389 或 [::]:3389 才算正常，如果显示的是 0.0.1:3389，说明服务只绑定了本地回环，穿透进来也连不上,需要改服务配置监听全部地址。
接着放行防火墙，以远程桌面为例，在“高级安全 Windows Defender 防火墙 → 入站规则”里确认“远程桌面”相关规则已启用；或者手动新建入站规则放行 TCP 3389。
第三步：安装客户端并登录
从花生壳官网下载 Windows 客户端，安装后用账号密码登录，客户端会自动把当前设备注册到账号下的设备列表里，注意两点：一台设备对应一个客户端登录；客户端必须保持运行，关掉就等于隧道断了，生产环境建议把客户端设为开机自启,并配置成服务方式运行。
第四步：添加映射规则
在客户端或 Web 管理后台点“内网穿透 → 添加映射”,逐项填写：
| 字段 | 填什么 | 举例 |
|---|---|---|
| 应用名称 | 自己看得懂的名字 | 财务服务器远程桌面 |
| 映射类型 | 按协议选 | TCP（远程桌面）/ HTTP（网站） |
| 内网主机 | 服务器的内网 IP | 168.1.10 |
| 内网端口 | 服务实际监听端口 | 3389 |
| 外网域名 | 系统分配或自有域名 | 系统随机分配 |
| 外网端口 | 固定或随机 | 免费版多为随机 |
保存后，外网访问地址就是“外网域名:外网端口”。
第五步：从外网验证
不要在内网里测，那样测不出问题，用手机 4G/5G 热点连一台笔记本，或者让同事从异地访问,执行：
telnet 你的域名 外网端口通了再打开远程桌面客户端连接，这一步能一次性区分“隧道没通”和“服务本身有问题”。
Linux 服务器花生壳内网穿透配置
Linux 环境没有图形界面，思路和 Windows 一致,只是操作换成命令行。
- 从官网下载对应发行版的安装包（rpm 或 deb），用
rpm -ivh或dpkg -i安装； - 安装完成后启动服务，新版客户端以
phtunnel服务形式运行，可用systemctl status phtunnel查看状态；老版本客户端用phddns start启动； - 首次使用需要绑定账号，命令行会输出一个设备码，在 Web 后台输入设备码完成绑定；
- 映射规则建议直接在 Web 管理后台添加，比命令行直观,也不容易填错字段；
- 设置开机自启：
systemctl enable phtunnel。
如果服务器上有多个服务要暴露，不要把所有端口塞进一条映射，而是一个服务一条映射,出问题时能快速定位是哪条规则的问题。
花生壳内网穿透端口映射失败怎么办
按下面顺序排查,基本能覆盖绝大多数情况：
- 看客户端是否在线，后台设备列表显示离线,说明客户端进程挂了或者服务器断网了。
- 看内网服务是否存活，在服务器本机用
curl 127.0.0.1:端口或浏览器访问localhost:端口，本机都不通,映射肯定不通。 - 看监听地址，只监听 127.0.0.1 的服务，穿透进来必然失败，改成 0.0.0.0。
- 看防火墙和安全软件，Windows 防火墙、第三方杀毒、云主机的安全组,三层都可能拦。
- 看外网端口是否被占用,免费版的随机端口偶尔需要重新生成一次。
- 看协议选对没有，网站用 HTTP 映射，远程桌面和 SSH 用 TCP 映射,选错了现象就是连不上但也不报错。
还有两个容易被忽略的坑，一是备案问题：在国内线路做 HTTP 映射对外提供网站服务，域名涉及 ICP 备案要求，未备案的域名访问 80/443 常被拦截，这也是不少人改走 TCP 映射或换用已备案自有域名的原因，据工信部相关管理规定，境内服务器对外提供网站服务需完成备案，二是运营商对 80/443 的封禁，家宽线路尤其常见,改用非标准端口往往能绕开。
花生壳内网穿透免费版和付费版区别
免费版能用，但限制很明确：带宽通常在 1Mbps 级别，每月流量有上限，外网端口随机且不保证固定，域名也是系统分配的二级域名，这意味着远程桌面会有点拖影,网站访问并发一高就转圈。
| 对比项 | 免费版 | 付费版 | 硬件盒子 |
|---|---|---|---|
| 带宽 | 1Mbps 级别 | 按套餐提升 | 按型号和套餐 |
| 外网端口 | 随机 | 支持固定端口 | 支持固定端口 |
| 域名 | 系统分配 | 可绑定自有域名 | 可绑定自有域名 |
| 稳定性 | 一般 | 较好 | 较好，独立运行 |
| 适用 | 临时测试、个人调试 | 企业日常办公 | 分支节点、无人值守机房 |
价格方面，入门套餐多在百元级每年，带宽越高、端口越固定的套餐价格越高，硬件盒子则是一次性购置加服务费的模式,具体以官网当期公示为准。
选型上给个参考场景：广州一家二十来人的贸易公司，财务和 ERP 放在办公室机柜，外地办事处要访问，这种并发不高、但要求稳定的场景，免费版不够用，选带固定端口的中档套餐，比给每个办事处拉专线便宜得多，如果机房里有多台设备、还要求断网自动重连,直接上硬件盒子更省心。
关于花生壳内网穿透的几个常见问题
花生壳内网穿透需要公网 IP 吗
不需要，这正是它存在的意义，客户端主动向外建立连接，内网服务器全程不需要公网地址，也不需要路由器做端口映射，前提是服务器本身能正常上网,且出口没有做严格的出站限制。
花生壳内网穿透可以映射数据库端口吗
技术上可以，把 3306 或 1433 作为内网端口加一条 TCP 映射即可，但不建议直接暴露在公网，稳妥做法是映射 SSH 端口，先登录服务器再本地访问数据库；或者只允许特定来源 IP 访问,并把数据库账号限制为最小权限。
花生壳内网穿透访问速度慢怎么优化
先判断瓶颈在哪：客户端后台看实时速率，如果已经跑满套餐带宽，那就是套餐规格问题，只能升级，如果速率没跑满但操作卡顿，多半是映射类型选错，网站类走 HTTP 映射会比 TCP 映射快一些，另外尽量让服务器走有线网络,避免客户端所在机器同时跑下载任务抢占上行带宽。
把服务器内网 IP 固定、确认服务监听在 0.0.0.0、装客户端加一条映射，这三步做对，花生壳内网穿透基本一次就能通。 后续遇到的绝大多数“连不上”，问题都不在穿透工具本身，而在端口监听、防火墙和备案这三处细节上。