“免费服务器”这四个字在搜索框里的出现频率高得离谱但点进去看会发现大家想要的根本不是同一个东西。有人只想把几十兆的静态页面挂上去有人想跑个定时脚本抓数据有人想给家里那台吃灰的旧笔记本找个出门在外的访问入口还有人只是要给同事演示两天的接口服务。需求不同“免费”这两个字的含义就完全变了味——云厂商的免费试用、托管平台的免费层、无服务器函数的免费调用额度、开发者计划的赠送资源以及最后一种最土也最持久的方案自己家里那台机器加上一条从公网打回来的通道。这篇东西就是把这五种形态摊开讲。我会说清楚每种形态的真实边界在哪里、免费额度到底够跑什么、什么情况下看着免费实际会开始扣钱、什么情况下通道会莫名其妙断掉。也会给出一套可以直接抄的自建内网穿透流程用 SSH 反向转发起步再到配置化的转发工具做多端口映射。写这些不是为了让谁去薅什么羊毛而是我这些年帮人看过的“免费服务跑着跑着挂了”的现场实在太多多数问题在选型那一刻就已经注定。适合谁看预算为零但想把东西真正跑起来的个人开发者、刚接触服务部署的学生、需要给客户做临时演示的小团队以及想把家里设备安全地远程访问起来的普通用户。基础差一点没关系我会把每个参数为什么这么设都讲清楚。1. 先把“免费”拆开五种形态到底差在哪免费服务器这个词最大的误导在于它把五种完全不同性质的东西塞进了一个筐。有的是限时试用本质是营销成本有的是永久免费但规格极小本质是获客入口有的是按调用量计费、额度内不收费本质是弹性资源的零门槛版本有的是需要资质审核的赠送还有一种是物理上就在你桌子底下、只差一条公网通道。选型错了后面所有折腾都是白费。这一节先把五种形态的核心特征和适用边界理清楚后面几节再逐个拆细节。我建议你在动手之前先对着下面这张表给自己定位一下别急着注册。形态典型免费边界适合跑什么最容易踩的坑云厂商免费试用限时数月或永久免费的小规格实例学习部署、临时验证、小型 API到期自动转按量计费托管应用平台免费层每月运行小时数 流量上限闲置休眠静态站、Demo、低频接口冷启动几十秒定时任务被休眠打断无服务器函数每月调用次数 计算时长额度事件触发的短任务、Webhook 接收执行时长上限、无法常驻监听端口开发者/教育计划需审核赠送额度有有效期课程项目、开源项目演示额度到期后服务直接停自建 穿透通道硬件自有电费与中转成本自付家庭设备远程访问、长期小服务通道断开、暴露面失控1.1 形态一免费试用与常驻小规格别把“到期”当不存在云厂商的免费通常分两类性质完全不同。第一类是限时试用给你几个月、若干核若干 G 的实例到期之后如果你没手动释放它会自动切换成按量计费或者包年包月账单从几块钱开始往上走。这是我用血泪换来的经验几乎所有“莫名其妙被扣了几十块”的案例都是试用到期没清理。第二类是长期存在的免费小规格通常是一核一 G 或者更小配一点点系统盘出网流量按月给一个很小的额度。这类东西确实能长期挂着但它的定位是给你验证和练手不是给你跑生产。这里要看清楚一个关键区别实例免费不等于资源免费。磁盘超出部分、快照、公网 IP、出网流量、负载均衡这些往往是单独计费的。很多人算账只算 CPU 和内存最后被出网流量打穿。我一般的做法是注册之后第一件事不是装环境而是去账单页面把“费用预警”和“预算提醒”设上哪怕只设一个每月十块的阈值也能在你忘记清理的时候把你叫醒。另一个容易被忽略的点是免费小规格的性能底牌。这类实例很多用的是共享型或者突发性能型平时给你一个很低的基准算力攒够了积分才能短时间冲高。你的服务在压测时看着还行真跑起来一持续CPU 积分耗尽性能直接掉到基准线以下接口响应从几十毫秒变成好几秒。判断方法很简单登录之后看实例的 CPU 积分余额曲线如果它是一条持续下滑的斜线说明你已经在透支了。1.2 形态二托管应用平台的免费层休眠是它的默认行为托管型平台的思路是“你只管推代码运行环境我包了”。免费层通常给你每月几百小时的运行时长、一点点出网流量外加一个平台分配的域名。听起来很美但它的核心机制是闲置休眠一段时间没有请求进来实例就被挂起下一个请求到达时要先把它叫醒。这个叫醒过程冷启动几十秒是常态如果应用本身依赖数据库连接池或者要加载较大的模型文件时间还会更长。这个机制决定了它适合什么、不适合什么。静态页面、个人博客、不着急的 Demo完全够用。但如果你在里面跑定时任务比如每十分钟抓一次数据、每小时同步一次状态那就要小心了——实例休眠的时候你的定时器是不走的。我曾经用这类平台跑一个每天凌晨执行的数据同步结果连续三天没跑排查半天才发现是平台在夜间把实例休眠了定时任务压根没被触发。解法是把定时逻辑从应用内部挪到外部的调度服务上靠外部定时请求把实例唤醒再触发执行或者干脆换成形态一。还有一个隐藏条款要注意免费层往往对并发连接数有上限超出之后请求会被排队或者直接拒绝。做演示够用一旦有人分享到群里带来一波流量你看到的就是一串 429 或者 503。演示前务必自己用工具压一下摸清楚并发上限在哪个量级心里有个数。1.3 形态三无服务器函数别指望它常驻无服务器函数是按调用次数和执行时长计费的免费额度通常给到每月几十万次调用和十几万 GB·秒的计算量对个人项目来说绰绰有余。它的优势是真正的零运维、按需伸缩一个请求来了才分配资源请求结束资源就回收。缺点也同样鲜明单次执行有时长上限通常是几十秒到几分钟运行环境是无状态的你不能在里面保存文件最关键的是它不给你一个常驻监听的端口你没法在上面跑一个需要长连接的服务。所以函数适合什么场景Webhook 接收、图片处理、表单提交落库、定时触发的短任务、给前端做轻量 API 聚合。这些任务都是“来一个请求、干一件事、马上返回”的模型。不适合的场景也很明确需要保持 WebSocket 长连接的、需要跑几十分钟批处理的、需要在内存里维护状态的。硬要把后者塞进函数里最后一定是拆成一堆互相调用的函数复杂度比直接用一台小实例高得多。提示函数的免费额度是按“调用次数 计算时长”双维度算的看起来额度很大但如果你写了个循环里反复调用外部接口、单次执行跑满时长上限消耗速度会远超预期。上线前先用日志统计一下平均执行耗时和每日调用量做个乘法。1.4 形态四开发者计划与教育扶持额度有保质期这一类是平台或者社区为了扶持开发者给出的赠送资源通常需要一定的资质审核比如教育邮箱、开源项目主页、或者参加某个开发者活动。额度一般比公开免费层大一些可能是几个月的较大规格实例或者一定金额的抵扣额度。对学生和做开源的人来说这是性价比最高的一条路我自己早期的几个项目就是靠这类额度撑过来的。但它有两个必须提前想清楚的问题。第一是有效期。额度不是永久的到期那天服务会直接停不会给你宽限期。如果你的东西已经有人在用了停服就是事故。所以用这类资源的时候我从第一天就给自己定规矩所有数据必须能一键导出部署脚本必须能在任意一台新机器上十分钟内跑起来。这样额度到期的时候换台机器重新部署成本可控。第二是资质变化。教育邮箱毕业就失效开源项目如果停止维护资格也可能被收回。别把长期服务建立在一个会变的身份上。1.5 形态五自建加一条穿透通道最土但最持久最后一种形态是字面意义上的“自己的服务器”一台旧笔记本、一台小主机、一台退役的台式机装上系统放在家里电费一个月几块钱到十几块。硬件成本为零因为本来就是闲置的性能往往比免费小规格实例还强。唯一的问题是它在家里没有公网地址外面的设备访问不到。解决这个问题的手段就是内网穿透在你的设备和一台有公网地址的中转服务器之间建立一条持续的连接把公网服务器上的某个端口转发到你家设备上的某个端口。外面的人访问中转服务器的那个端口流量就顺着这条连接回到你家里的机器上。整个过程对访问者是透明的他以为在访问一台公网服务器实际上请求跑到了你桌子底下那台机器上。这个方案的优点是可控性极强——机器是你的数据是你的想装什么装什么不用担心平台休眠、额度到期、条款变更。缺点是你得自己维护通道断了要能自动重连机器重启了服务要能自启端口暴露出去要考虑安全。这些在后面第 3 节和第 4 节会详细讲那部分才是这个方案真正的门槛所在。2. 免费额度的真实边界几笔必须算清楚的账选型只看功能是不够的免费方案真正的分水岭在额度边界上。很多人在“能跑起来”这一步就停下了等真正用起来才发现流量超了、内存爆了、实例被限速了。这一节把几个关键账目算清楚你拿着自己的场景套一下基本能判断免费额度够不够。2.1 三种计费口径算错了就是白算免费额度的计量方式主要有三种混在一起看很容易懵。第一种是按时间比如“每月 750 小时实例时长”这个数字看起来很大但换算一下一个月按 30 天算是 720 小时也就是说 750 小时只够你跑一台实例开第二台就开始超。第二种是按流量出网流量单独计量入网流量一般不计或者计得很少。第三种是按请求或调用次数超出之后按每百万次多少钱计费。这三者的关系是乘法而不是加法。一台跑着网页服务的实例既消耗时间又消耗流量还可能消耗请求数。所以算账的时候要三个维度都过一遍任何一个维度先到顶你的免费就结束了。我见过最典型的翻车是这样的实例时长没超、请求数没超结果首页放了一张几兆的大图被人转发了一波出网流量一天就跑完了整月的额度。2.2 出网流量才是真正的成本黑洞出网流量这件事必须单独拎出来说因为它是免费方案里最容易被低估、也最容易突然超支的一项。算法很简单月出网流量 ≈ 日均请求数 × 平均响应体积 × 30 天举个具体例子。假设你的接口每天被调用 2000 次每次返回的 JSON 大概 5KB那么月流量是 2000 × 5KB × 30 ≈ 300MB非常轻松。但如果你的页面带图片单次响应平均 300KB同样的调用量就变成 2000 × 300KB × 30 ≈ 18GB。很多免费额度给的是 1GB 到 10GB 这个量级18GB 已经超了。所以压缩这件事不是可选项而是必选项。图片走对象存储加上合适尺寸的缩略图接口开启 gzip 压缩静态资源加长缓存头让浏览器别反复拉这三招下去通常能砍掉六七成的流量。我在给自己的小站点做优化的时候光是把首屏几张没压缩的图处理掉月流量就从 12GB 掉到了 3GB 出头效果立竿见影。2.3 内存和磁盘的隐性天花板免费小规格实例最常见的是 1GB 内存这个数字对不同的运行时意味着完全不同的东西。跑一个纯静态站点加反向转发常驻内存大概十几到二十几兆1GB 富余得很。跑一个 Node 应用空载八九十兆带上依赖和连接池可能一百多兆也还行。但如果跑 Java 服务光 JVM 起步就要两三百兆加上应用本身1GB 内存跑起来会非常勉强稍有并发就 OOM然后被系统的内存回收机制杀掉表现为服务莫名其妙就没了。磁盘也是同理。免费实例的系统盘通常只有二十到四十 G装完系统剩不了多少。日志如果不做轮转几个月就能把盘写满写满之后的症状很诡异数据库写不进去、服务启动失败、SSH 登录不上。我的习惯是部署当天就把日志轮转配好按大小切分、保留最近若干份同时给磁盘用量设一个监控告警超过八成就有提示。注意内存不足导致的服务退出在日志里往往看不到任何业务异常只有系统层面的记录。排查的时候不要只看应用日志先看系统日志里有没有进程被强制终止的记录再去算内存峰值。2.4 用一条公式判断你该走哪条路把上面的东西合起来可以给一个很粗糙但很实用的判断流程。先算你的日均请求量和平均响应体积得出月出网流量再算你的应用常驻内存峰值最后看你的服务是否需要常驻监听端口、是否需要跑长时间任务。如果月流量在 10GB 以内、内存峰值在 300MB 以内、不需要长连接那么形态二或者形态三都能撑住托管平台更省心。如果需要常驻端口、需要跑定时任务、需要保持长连接那就得走形态一或者形态五。如果预算真的为零又有闲置硬件形态五是最稳的代价是要花一两个晚上把通道和自启配好。3. 自建内网穿透的完整实操选到形态五说明你要的是长期可控。这一节把整条链路从零搭起来用系统自带的 SSH 反向转发起步先把通道跑通再换到配置化的转发工具做多端口映射。之所以先用 SSH是因为它不需要装任何额外软件所有 Linux 和 macOS 都自带先用它验证网络环境通不通能省掉一大半“到底是工具配错了还是网络不通”的扯皮。3.1 前置条件与网络环境自检你需要两样东西一台有公网地址的中转服务器低配就够因为流量只是过路一台在家里要对外提供服务的设备。中转服务器的选择上用形态一里那种长期免费的小规格实例最合适因为它的负载极低几乎只做转发。动手前先做三项自检这三项任何一项不通后面都是白忙。第一项确认家里的设备能正常出网。这个基本不会有问题但要注意有些网络环境会限制非标准端口的出站连接如果发现 SSH 连不出去先试试 443 端口通常都能通。第二项确认中转服务器允许端口转发。SSH 服务端的配置文件里有一个GatewayPorts选项默认是关闭的关闭状态下反向转发只能绑定在 127.0.0.1 上也就是只有中转服务器自己能访问外面访问不到。需要改成clientspecified或者yes前者允许客户端指定绑定地址后者强制绑定到所有网卡。改完记得重载服务。第三项确认防火墙放行了你要用的端口。中转服务器上的系统防火墙和云平台的安全组是两套东西两套都要放行很多人只改了其中一套然后对着“连接被拒绝”抓耳挠腮。# 中转服务器上确认 SSH 服务端允许端口转发 grep -E GatewayPorts|AllowTcpForwarding /etc/ssh/sshd_config # 需要的话追加配置注意 GatewayPorts yes 会绑定所有网卡务必配合防火墙限制来源 # GatewayPorts clientspecified # AllowTcpForwarding yes # ClientAliveInterval 30 # ClientAliveCountMax 3 # 重载配置 systemctl reload sshd3.2 用 SSH 反向转发跑通第一条通道命令本身很短但每个参数都有讲究ssh -NT \ -o ExitOnForwardFailureyes \ -o ServerAliveInterval30 \ -o ServerAliveCountMax3 \ -i ~/.ssh/id_ed25519 \ -R 0.0.0.0:18080:127.0.0.1:8080 \ tunnelrelay.example.net拆开说。-N 表示不执行远程命令只做转发-T 表示不分配终端两个合起来就是“安静地建立一条纯转发连接”。ExitOnForwardFailureyes是关键它让 SSH 在端口绑定失败时立刻退出而不是自顾自挂着。没有这个参数你会遇到一种很迷惑的情况连接显示建立成功但外面访问端口就是不通因为远程端口绑定其实失败了SSH 却没告诉你。ServerAliveInterval30和ServerAliveCountMax3是保活参数每 30 秒发一次探测连续 3 次没响应就认为连接已死并断开。为什么要这个因为家用宽带上的连接经过多层网络设备长时间没有数据往来时中间设备的会话表可能会把这条连接的状态丢掉表现出来就是“连接还在但数据过不去了”。加了保活之后这种情况会被及时发现并断开重连。-R 0.0.0.0:18080:127.0.0.1:8080是转发的核心含义是在中转服务器上监听 18080 端口收到的连接转发到本地也就是你家设备的 8080 端口。这里的0.0.0.0就是绑定地址配合前面说的GatewayPorts才能生效。跑通之后从中转服务器外面访问http://relay.example.net:18080/应该就能看到你家里设备上的服务了。第一次跑通那一刻还是挺爽的但别急着庆祝手动敲命令建立的连接关掉终端就断了接下来要解决的是长期运行。3.3 让通道长期可用守护、重连与端口固定手动命令只适合验证。真正要长期跑得把它交给系统服务管理器这样断线能自动重连、开机自动启动、日志有地方查。下面是一份可以直接改改就用的服务单元配置[Unit] DescriptionReverse SSH Tunnel Afternetwork-online.target Wantsnetwork-online.target [Service] Usertunnel ExecStart/usr/bin/ssh -NT \ -o ExitOnForwardFailureyes \ -o ServerAliveInterval30 \ -o ServerAliveCountMax3 \ -o TCPKeepAliveyes \ -i /home/tunnel/.ssh/id_ed25519 \ -R 0.0.0.0:18080:127.0.0.1:8080 \ tunnelrelay.example.net Restartalways RestartSec10 [Install] WantedBymulti-user.target几个关键点。Restartalways加上RestartSec10是重连的核心进程退出之后 10 秒自动拉起。Afternetwork-online.target保证系统网络就绪之后才启动否则开机时可能因为网络没起来而反复失败。用一个专门的普通用户tunnel跑而不是 root是为了缩小出问题时的波及范围。这里有个坑我踩过重启太快会导致中转服务器上的端口还没释放新连接绑定失败然后ExitOnForwardFailure让它立刻退出十秒后又重试来回循环。如果看到日志里密集地出现端口占用相关的报错把RestartSec调大一点比如 30 秒给系统点时间回收端口。3.4 域名、证书与访问控制用 IP 加端口访问不是不行但用起来别扭而且很多客户端对非标准端口的支持不好。正经用的话在中转服务器上起一个反向转发服务把域名绑上去配上证书用 443 端口对外由它根据域名把请求分发到本地的不同端口。这样外面看到的就是一个正常的 HTTPS 站点体验好很多。证书这块现在基本都是自动签发的用一个定时任务定期续期就行不用手动折腾。要点是域名解析要指向中转服务器而且证书签发的验证过程需要 80 或者 443 端口能被访问到如果你把 80 端口占作他用就得用别的验证方式。访问控制这块必须提一句。端口一旦暴露出去全网扫描器几分钟内就能发现你。所以至少要做三件事一是把不必要暴露的路径全部关掉只留真正要用的入口二是加上一层认证用户名密码也好访问令牌也好别让随便谁都能进三是把管理后台这类敏感路径限制来源或者干脆只允许通过内网访问。注意调试阶段为了省事把认证关掉是很常见的做法但很多人一关就忘了开。我给自己定的规矩是通道建起来的第一时间就加上认证宁可麻烦一点也不要留一个敞口在那。3.5 换用配置化的转发工具做多端口映射SSH 反向转发的优点是零依赖缺点是每加一个端口就要多一条命令、多一个服务单元端口多了之后管理起来很乱。这时候可以换到配置化的转发工具一份配置文件把多个端口映射、认证令牌、加密方式全部写清楚一个进程全搞定。下面是一份典型的配置骨架各家工具的字段名不太一样但逻辑是一致的[common] server_addr relay.example.net server_port 7000 token 一段足够长的随机串 [web] type tcp local_ip 127.0.0.1 local_port 8080 remote_port 18080 [admin] type tcp local_ip 127.0.0.1 local_port 9090 remote_port 18090每段配置对应一个映射common段里是和中转服务器对接的参数其余每段是一组本地端口到远程端口的对应关系。令牌一定要用足够长的随机串不要用能猜到的字符串因为中转服务器的端口是公开的令牌是唯一的门槛。配置化方案在客户端和服务端都要跑对应的进程服务端配置里要放行允许的端口范围客户端配置里用令牌认证。为了保险我一般还会在服务端配置里把允许的远程端口范围限制死避免客户端随便指定端口导致冲突。# 端口连通性自检三连 # 1. 本地确认服务在监听 ss -lntp | grep 8080 # 2. 中转服务器上确认远程端口已被占用说明通道建立成功 ss -lntp | grep 18080 # 3. 从外部发起一次真实请求 curl -I http://relay.example.net:18080/这三条命令基本覆盖了“服务不通”的绝大部分排查场景第 4 节会展开讲。4. 那些年踩过的坑常见问题与排查实录免费方案加自建通道这个组合出问题的点非常分散可能是平台策略、可能是网络环境、可能是配置细节、也可能是自己代码。这一节把我遇到过的、以及帮别人排查过的典型问题整理出来按现象分类方便你对着找。4.1 “能连上但服务不通”的排查顺序这个现象最常见也最容易被误判成工具配置错误。我的排查顺序是固定的四步从上往下走基本五分钟内能定位。第一步确认本地服务本身是活的。在家里的设备上执行curl -I http://127.0.0.1:8080/如果这一步就不通那后面全都不用看了问题在你的应用上。常见原因是应用只监听了 127.0.0.1 而你的转发目标是别的地址或者应用启动失败但进程还在。第二步确认远程端口确实被监听了。在中转服务器上执行ss -lntp | grep 18080如果没有输出说明通道没建立成功或者绑定失败。这时候回头看客户端日志十有八九是ExitOnForwardFailure报的端口占用或者权限不足。第三步确认防火墙。中转服务器上的系统防火墙和云平台安全组都要放行 18080。这一步最容易被跳过因为很多人改完系统防火墙就以为完事了实际上云平台的安全组是独立的一套规则而且默认往往是全部拒绝。第四步确认绑定地址。如果在服务器本机能访问、外面访问不了基本就是GatewayPorts没开或者开成了no导致端口只绑在 127.0.0.1 上。现象大概率原因验证方式本地 curl 不通应用未启动或监听地址不对在本地直接请求回环地址远程端口无监听通道未建立或绑定失败看客户端日志 ss 检查服务器本机通、外部不通绑定地址或防火墙查 GatewayPorts 安全组能通但间歇失败连接空闲被中间设备回收检查保活参数是否生效4.2 被回收、被限流、被要求重新验证免费资源被回收是常态不是意外。我见过的情况有这么几类实例连续多少天 CPU 使用率极低被判定为闲置而回收账户长时间未登录被要求重新验证没验证之前资源冻结免费额度用超之后没有立即停服而是先限速表现为响应变得极慢但还能用很容易被误判成应用性能问题。应对方式是把“资源状态”当成一个需要监控的指标。具体做法是每天定时从中转服务器上拉一次自身状态和应用健康检查连续两次失败就给自己发个提醒。这个提醒不用很复杂一个定时脚本加一个通知渠道就够了。关键是要在用户发现之前你先知道。限速的识别有点技巧。如果你发现响应时间从几十毫秒突然变成几秒而应用日志里没有任何异常、CPU 和内存也不高那就要怀疑是网络层面的限速。测试方法是传一个大文件看吞吐如果吞吐稳定在一个很低的值上不去基本可以确认。4.3 通道频繁断开的四类根因通道断开是自建方案最烦人的问题因为它往往是间歇性的等你去看的时候已经恢复了。我总结下来主要是四类原因。第一类是空闲超时。连接长时间没有数据往来中间设备的会话表把状态清掉了。解法就是前面说的保活参数ServerAliveInterval设成 30 秒左右比大多数设备的空闲回收时间短就行。第二类是网络切换。家用宽带重新拨号、路由器重启、Wi-Fi 切换都会导致连接中断。这类问题没法避免只能靠自动重连覆盖。所以服务单元的Restartalways是必须的别图省事用nohup挂着。第三类是认证过期或者密钥问题。用了密钥认证的话一般不会有这个问题但如果用的是密码或者其他有时效的凭据到期就会连不上。解法是统一用密钥并且把密钥的权限设成只有属主可读权限不对 SSH 会直接拒绝使用。第四类是对端资源限制。中转服务器上的连接数上限、进程数上限超了之后新连接就建不起来。这类问题在低配实例上更容易出现检查方式是在服务器上看当前的连接数和进程数对照系统限制。4.4 几个不那么常见但很坑的细节第一个细节端口别选那些被浏览器或者网络策略拦掉的。有些端口在浏览器里直接就被禁止访问你配好了自己测试用命令行能通一用浏览器打开就失败会浪费很多时间。选端口的时候挑常见的高位端口避开那些有特殊含义的。第二个细节磁盘写满导致的连锁反应。日志不轮转磁盘满了之后数据库写不进去、服务起不来、SSH 登录也可能失败。我现在的做法是所有服务的日志统一走系统的日志管理配置按大小切分和保留份数同时给磁盘用量设阈值提醒。第三个细节时间不同步。自建设备如果长时间运行系统时间可能会漂移表现出来就是证书验证失败、令牌校验不通过、日志时间对不上。开个自动时间同步就能解决成本极低但收益很大。第四个细节中转服务器和家里设备的时区不一致排查问题的时候看着日志时间对不上会让人怀疑人生。统一成同一个时区或者至少在日志里带上时区标识。5. 安全与合规自建通道必须守住的几条线通道建起来只是开始能不能长期安全地用下去是另一回事。一个暴露在公网上的端口在被扫描器发现之后的几分钟内就会收到大量尝试连接。这一节说的几条线是我认为必须守住的底线不是可选项。5.1 最小暴露面只开必须开的最核心的原则是能不暴露的就不暴露必须暴露的尽量少暴露。具体到操作上转发规则只写你真正需要对外的那一个端口不要把整台机器的所有服务都映射出去。数据库端口、缓存端口、管理后台端口这些一律不要直接对外。如果确实需要访问管理后台用两层做法一层是路径或者来源限制只允许特定来源访问另一层是在前面加一层认证。我自己的习惯是管理类的入口根本不走公网通道需要的时候临时开用完立刻关。虽然麻烦一点但省心。还有一点是权限隔离。跑转发进程的用户应该是一个专用的低权限用户不要用 root也不要和你日常登录用的是同一个账号。这样即使这个进程被利用能碰到的东西也有限。5.2 认证、令牌与访问日志认证这件事没有捷径。用密钥而不是密码密钥长度够、权限正确配置化工具里的令牌用足够长的随机串定期更换对外提供的服务加上应用层认证别指望“地址没人知道”这种安全。访问日志必须开而且要能看到来源地址、请求路径、响应状态。这个日志不只是为了排查问题更是为了发现异常。如果某天开始日志里出现大量来自陌生来源的、请求不存在路径的记录说明你的端口已经被扫到了该考虑收紧策略了。提示日志里不要记录完整的令牌和密码。很多人为了排查方便把请求头完整打出来结果日志文件里躺着一堆凭据一旦日志泄露等于凭据泄露。5.3 别把临时通道当长期入口这一条是我最想强调的。调试用的通道用完就该关。我见过太多“临时开一下后来忘了关”的情况几个月后回头看那个端口还开着服务还在跑版本还是当时的版本漏洞也没打补丁。我的做法是给所有临时通道设一个明确的失效时间到点自动停。如果某个通道确实需要长期存在那就把它纳入正式管理写进配置、纳入监控、定期检查、有明确的负责人。临时和长期混在一起是安全问题的温床。另外使用任何免费资源和中转服务都要遵守对应平台的服务条款只用于自己的合法业务和正当的开发调试需求不要拿去做任何超出授权范围的事情。这一条没什么可商量的。6. 成本与场景对照给不同的人一条最短路径讲了这么多形态和坑最后落回到具体的人身上。不同场景下的最优解差别很大这一节按常见的使用者类型给出直接的建议你可以对号入座也可以组合使用。6.1 学生和个人练手优先用额度但把可迁移性放第一位这个阶段的诉求是“能跑起来、能学到东西、不花钱”。最优解是用开发者计划或者教育扶持的额度规格够大能玩的东西多。但一定要从第一天就养成习惯所有部署写成脚本所有数据能一键导出所有配置放在版本管理里。这样额度到期或者身份变化的时候换个环境十分钟就能恢复。练手的项目不要太复杂一个带数据库的小接口服务配上静态前端再加一个定时任务这套组合能把部署、反向转发、日志、监控这些基础能力全串一遍。跑通了这一套后面遇到什么平台都能快速上手。6.2 小团队临时演示托管平台最省事但要提前压测给客户演示、给同事看原型这种场景时间紧、要求是“打开就能看”。托管平台的免费层是最合适的推代码就上线不用管服务器。但演示前必须做两件事一是提前用工具压一下摸清并发上限二是准备一个“预热”请求在正式演示前几分钟先访问一次把休眠的实例叫醒避免第一屏就让人等几十秒。演示用的数据要提前准备好别现场造。演示环境和个人环境要隔离别拿真实数据去演示。演示结束后及时清理别让临时环境长期挂着。6.3 家庭设备远程访问自建通道是唯一靠谱的路想在外面访问家里的存储、摄像头、下载任务这些需求用托管平台满足不了因为它们需要访问的是你家里的设备。这时候自建通道是唯一的选择。做法就是第 3 节那套一台低配中转服务器加家里的设备SSH 反向转发起步稳定之后再换配置化工具。这类场景对带宽有要求如果主要是传文件得看看中转服务器的带宽够不够低配实例的带宽往往有限制传大文件会很难受。可以考虑只在需要的时候开通道平时关掉减少暴露时间也省流量。6.4 长期运行的个人服务算总账别只看免费如果某个服务已经有人在用了那“免费”就不再是首要考虑因素可靠性才是。这时候要算总账免费方案省下的钱能不能覆盖掉你为它付出的维护时间和潜在的中断损失。我的判断标准是如果一个服务中断一小时会让你损失超过一个月服务器费用的钱那就该考虑付费方案或者更可靠的架构。反过来如果只是自己的玩具项目免费方案加自动重连完全够用断了就断了重连上就行。最后分享一个小技巧也是我这些年最受益的一个习惯不管用哪种免费形态都给自己留一条“降级路径”。也就是当这个免费资源明天突然没了你能不能在一个小时内把服务挪到别的地方。能做到这一点你用任何免费资源都是安全的做不到那你其实是在赌而赌局总有结束的一天。