最近身边不少朋友都在折腾自建网络隧道，说是家里装了NAS，想在外网随时访问照片和文件，或者想远程控制家里的电脑。听着挺方便，搭好了确实也挺好用，但背后藏着的风险，很多人压根没意识到。
你以为只是传个文件，其实门已经打开了
自建隧道最常见的做法是用工具把内网服务暴露到公网，比如用 frp、ngrok 或 ZeroTier 搭一套转发。配置完之后，你在公司也能连上家里的摄像头、路由器甚至数据库。可问题就出在这——一旦配置不当，等于在家门口挂了个“欢迎光临”，谁都能进来转一圈。
举个例子，老张为了看家里的监控，开了个端口映射，顺手把管理页面的账号密码设成了123456。结果没过几天，他的设备就被扫到了，监控画面被上传到黑市，还被用来加入僵尸网络发DDoS攻击。
常见漏洞：弱密码 + 默认配置 = 送人头
很多用户搭完隧道后从来不改默认设置。像 frp 的仪表盘页面，默认是开着的，而且没有强制认证。只要别人知道你的公网IP和端口，打开浏览器就能看到连接状态、流量数据，甚至能反向控制你的客户端。
下面是个典型的不安全配置片段：
<frpc.ini>
[common]
server_addr = your-vps-ip
server_port = 7000
[web]
type = http
local_port = 80
custom_domains = mynas.ddns.net
# 仪表盘没加认证，危险！
admin_addr = 0.0.0.0
admin_port = 7400
这种配置下，仪表盘可以通过 http://your-vps-ip:7400 直接访问，什么都没拦着。黑客轻点几下就能查到你内网有哪些服务在跑。
加密做不好，数据裸奔在路上
有些自研或小众隧道工具为了省事，传输数据时不加密，或者用的是弱加密算法。你传的照片、文档、聊天记录，在中间节点可能被嗅探还原。更别说有人专门监听公共VPS上的这类流量，自动抓取敏感信息。
哪怕你自己用了HTTPS，如果隧道层没加密，域名、请求路径这些还是可能泄露。比如你访问的是 https://tunnel-domain.com/admin/delete，虽然内容加密了，但操作意图已经暴露。
法律风险也不是闹着玩的
去年有个案例，有人用自建隧道做代理，结果IP被用来发垃圾邮件和爬取政务网站，最终服务器被查封，本人也被警方约谈。你说我只是想同步文件，可一旦你的出口IP干了坏事，追责第一环就是你。
特别是用了动态域名+公网IP的组合，日志没保留还好，一旦被调取记录，解释起来很麻烦。
怎么降低风险？几个实用建议
第一，所有服务必须加强认证。别再用 admin/123456 这种组合，启用双因素认证更好。frp 支持 token 验证，记得在 client 和 server 两端都配上高强度密钥。
[common]
server_addr = your-vps-ip
server_port = 7000
token = 这里换成一长串随机字符，至少32位
第二，关闭不必要的面板和服务。frp 的 admin_port 能关就关，实在要用，至少绑定到 127.0.0.1 并加反向代理做认证。
第三，尽量使用成熟方案。比如 Tailscale 或 Cloudflare Tunnel，它们默认开启加密、自动更新、权限隔离，比自己搭更省心也更安全。
最后一条：定期检查日志。看看有没有陌生IP频繁连接，有没有异常的端口请求。发现不对劲，第一时间断开并排查。