frp安全加固指南：全方位提升服务安全性-优快云博客

frp安全加固指南：全方位提升服务安全性

【免费下载链接】frp frp 是一个专注于内网穿透的高性能的反向代理应用，支持 TCP、UDP、HTTP、HTTPS 等多种协议，且支持 P2P 通信。可以将内网服务以安全、便捷的方式通过具有公网 IP 节点的中转暴露到公网。项目地址: https://gitcode.com/GitHub_Trending/fr/frp

内网穿透工具frp在便捷性背后隐藏着潜在安全风险，如未授权访问、数据泄露等。本文从认证机制、传输加密、访问控制等维度，提供可落地的安全加固方案，帮助用户构建防护体系。

认证机制强化

frp支持多种认证方式，Token认证和OIDC认证是保障服务安全的第一道防线。

Token认证配置

在服务端配置文件[conf/frps.toml](https://link.gitcode.com/i/b00db9eaf36134afc88c63aba4496e89)中设置全局Token：

auth.method = "token"
auth.token = "高强度随机字符串"  # 建议长度≥16位，包含大小写字母、数字和特殊符号

客户端配置文件[conf/frpc.toml](https://link.gitcode.com/i/8fd0a35e8c6bccf749196443ff7057bf)需匹配相同Token：

auth.method = "token"
auth.token = "与服务端一致的Token"

OIDC认证集成

对于企业级场景，可通过OIDC实现集中式身份验证。在[pkg/auth/auth.go](https://link.gitcode.com/i/b24cfde3a5468fdfcd62a240f2db8f58)中定义了OIDC认证流程，配置示例：

# frps.toml
auth.method = "oidc"
auth.oidc.issuer = "https://your-oidc-provider.com"
auth.oidc.audience = "frp-service"

# frpc.toml
auth.method = "oidc"
auth.oidc.clientID = "your-client-id"
auth.oidc.clientSecret = "your-client-secret"
auth.oidc.tokenEndpointURL = "https://your-oidc-provider.com/token"

传输加密与数据安全

TLS强制加密

frp默认启用TLS加密，但需确保服务端仅接受加密连接。在[server/service.go](https://link.gitcode.com/i/e0396c441467be33836568c3119ce152)中配置TLS：

tlsConfig, err := transport.NewServerTLSConfig(
  cfg.Transport.TLS.CertFile,  // 服务端证书路径
  cfg.Transport.TLS.KeyFile,   // 私钥路径
  cfg.Transport.TLS.TrustedCaFile)  // CA证书路径

服务端配置强制TLS：

# frps.toml
transport.tls.force = true
transport.tls.certFile = "/path/to/server.crt"
transport.tls.keyFile = "/path/to/server.key"
transport.tls.trustedCaFile = "/path/to/ca.crt"

客户端启用TLS：

# frpc.toml
transport.tls.enable = true
transport.tls.trustedCaFile = "/path/to/ca.crt"  # 验证服务端证书

数据压缩与加密

对敏感流量启用额外加密，在客户端代理配置中添加：

[[proxies]]
name = "sensitive-service"
type = "tcp"
localPort = 8080
remotePort = 8080
transport.useEncryption = true  # 启用传输加密
transport.useCompression = true  # 数据压缩（可选）

访问控制策略

端口访问限制

在服务端[conf/frps_full_example.toml](https://link.gitcode.com/i/bd8156e59399612545d5dac1d2eb362a)中限制允许的端口范围：

allowPorts = [
  { start = 2000, end = 3000 },  # 允许2000-3000端口范围
  { single = 3389 }  # 允许单个端口
]
maxPortsPerClient = 5  # 限制单个客户端最大端口数

客户端IP白名单

通过[server/proxy/tcp.go](https://link.gitcode.com/i/d45db5558f36626d346f55414aee4972)实现IP过滤，仅允许指定IP访问：

if !isAllowedIP(clientIP, allowedIPs) {
  log.Warnf("client %s is not in allowed IP list", clientIP)
  return nil, fmt.Errorf("access denied")
}

虚拟网络隔离

frp的VirtualNet功能可创建独立虚拟网络，隔离不同服务流量。在[doc/virtual_net.md](https://link.gitcode.com/i/b4fa42c60584a5c7d84b767faeac069e)中定义了配置方法：

# frpc.toml（服务端）
featureGates = { VirtualNet = true }
virtualNet.address = "100.86.0.1/24"

[[proxies]]
name = "vnet-server"
type = "stcp"
secretKey = "虚拟网络密钥"
[proxies.plugin]
type = "virtual_net"

客户端配置：

# frpc.toml（客户端）
virtualNet.address = "100.86.0.2/24"

[[visitors]]
name = "vnet-visitor"
type = "stcp"
serverName = "vnet-server"
secretKey = "虚拟网络密钥"
[visitors.plugin]
type = "virtual_net"
destinationIP = "100.86.0.1"

监控与审计

仪表盘访问控制

启用frp仪表盘并设置强密码，在[conf/frps_full_example.toml](https://link.gitcode.com/i/bd8156e59399612545d5dac1d2eb362a)中配置：

webServer.addr = "127.0.0.1"  # 限制本地访问
webServer.port = 7500
webServer.user = "admin"
webServer.password = "复杂密码"  # 建议使用密码管理器生成

日志审计

配置详细日志记录，便于安全审计：

log.to = "/var/log/frps.log"
log.level = "info"  # 生产环境建议使用"warn"，排查问题时设为"debug"
log.maxDays = 30  # 日志保留30天

安全加固检查清单

检查项	安全要求	配置文件/代码位置
Token复杂度	≥16位，包含多种字符类型	conf/frps.toml
TLS强制加密	服务端启用forceTLS	server/service.go
端口访问限制	仅开放必要端口，限制端口范围	conf/frps_full_example.toml
虚拟网络隔离	敏感服务使用stcp+VirtualNet	doc/virtual_net.md
日志审计	启用文件日志，保留≥7天	conf/frps.toml

通过以上措施，可大幅降低frp服务暴露风险。建议定期审查配置文件和代码变更，如[pkg/config/v1](https://link.gitcode.com/i/ee83cc6699c76a09f06c5130b9638a65)中的配置验证逻辑，确保安全策略持续有效。

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考