异地IP打通：Socks5 Over TLS

一、前言

市面上常见的FRP裸Socks5穿透方案，最大痛点是流量明文传输、代理账号密码裸奔，极易被中间人抓包窃取数据，存在极大安全隐患。

• 摒弃裸Socks5明文认证，配合FRP隧道加密，彻底杜绝账号密码泄露问题

二、整体网络架构

异地设备（手机/电脑）→ HTTPS加密域名 → 1Panel Nginx反向代理 → FRPS服务端（TLS加密通道）→ 老家FRPC客户端 → 老家宽带出口（老家IP）

三、前置必备条件

1. 一台云服务器（轻量云/VPS，具备公网IP，可正常联网）

2. 一个已备案域名（用于1Panel申请SSL证书、配置HTTPS）

3. 老家一台可长期开机、联网的电脑（Windows/Linux均可）

4. 服务器放行端口：7000（FRP通信）、80/443（HTTP/HTTPS）、自定义代理端口

四、服务端部署（云服务器1Panel+FRPS+HTTPS）

步骤1：安装1Panel面板

执行官方一键脚本安装，适配主流Linux系统，安装完成后通过面板地址、账号密码登录后台：

curl -sSL https://resource.1panel.cloud/auto_install/install.sh | bash -s

步骤2：1Panel安装FRP服务端

1. 登录1Panel后台，进入【应用商店】，搜索FRP服务端（frps），一键安装

2. 基础配置（关键）：

   1. 服务绑定端口：7000（FRP默认通信端口，不建议修改）

   2. Dashboard面板端口：7500（自定义，用于查看连接状态）

   3. 设置高强度随机Token（密钥，客户端对接必备，杜绝非法连接）

   4. 开启TLS强制加密：tls_only = true（拒绝所有明文客户端连接）

3. 保存配置，启动FRPS服务，设置开机自启

步骤3：1Panel配置HTTPS域名+自动SSL证书

这是全程加密的核心，通过1Panel反向代理实现HTTPS加密访问，替代裸IP+端口明文连接：

1. 1Panel后台进入【网站】-【创建站点】，输入你的解析域名

2. 站点配置：反向代理，目标地址填写 127.0.0.1:7000（本地FRPS服务端口）

3. 进入【SSL证书】模块，选择DNS验证（Cloudflare/阿里云等），申请通配符SSL证书

4. 开启强制HTTPS、自动证书续期，关闭HTTP明文访问

5. 保存生效，实现FRP服务全程HTTPS加密访问

步骤4：最终FRPS完整配置（兼容TLS+HTTPS）

在1Panel FRP配置界面替换以下内容，兼顾安全与稳定性：

[common]
bind_port = 7000
bind_udp_port = 7001  # 预留P2P打洞端口，备用
token = 自定义32位以上随机高强度密钥
tls_only = true        # 强制所有客户端走TLS加密，禁止明文连接
dashboard_port = 7500
dashboard_user = 自定义面板账号
dashboard_pwd = 自定义高强度面板密码
log_level = error      # 精简日志，减少资源占用

五、客户端配置（老家电脑FRPC，全程加密Socks5）

核心配置：开启全局TLS + 隧道数据加密 + 压缩传输，使用FRP内置Socks5插件，无明文泄露风险。

老家电脑下载对应系统版本的FRP客户端，配置frpc.ini如下：

[common]
server_addr = 你的云服务器域名
server_port = 7000
token = 与服务端完全一致
tls_enable = true          # 全局TLS握手加密（核心安全配置）
use_compression = true     # 数据压缩，提升传输速度、节省带宽

# 加密Socks5代理隧道（异地上网核心）
[home-secure-socks]
type = tcp
remote_port = 自定义外网代理端口
plugin = socks5
plugin_user = 自定义代理账号
plugin_pwd = 自定义高强度代理密码
use_encryption = true      # 隧道数据AES加密，杜绝明文传输
use_compression = true

客户端启动方式

Windows系统：cmd执行命令后台运行，可搭配工具设置开机自启、断线重连

frpc.exe -c frpc.ini

Linux系统：nohup托管进程，保障24小时稳定运行

六、异地设备使用教程（零加密配置，直接即用）

重点解答大家最关心的问题：服务端、老家客户端已全程开启TLS+加密，异地访问端（手机/电脑/Clash）无需任何加密配置。

加密链路仅存在于「老家电脑 ↔ 云服务器」之间，外层HTTPS已兜底防护，异地设备直接标准Socks5连接即可：

1. 代理类型：Socks5

2. 连接地址：你的HTTPS域名 / 云服务器IP

3. 端口：上述配置的remote_port

4. 账号密码：frpc.ini中自定义的plugin_user、plugin_pwd

连接成功后，可通过IP查询工具验证，设备公网IP已变为老家宽带IP，所有上网流量全程加密，无明文泄露风险。

七、核心安全原理（彻底消除明文风险）

很多人混淆FRP加密与Socks5明文问题，这里清晰拆解整条链路的安全机制：

1. 外层HTTPS防护：1Panel Nginx反向代理+SSL证书，杜绝外网中间人劫持、窃听

2. 全局TLS加密：tls_enable=true让FRP控制通道全程TLS加密，拒绝明文握手

3. 隧道数据加密：use_encryption=true 对所有代理流量做AES加密，Socks5账号、上网数据、Cookie等全部密文传输

4. 双层密钥隔离：FRP连接Token、Socks5代理密码独立设置，双重防护，杜绝非法接入

彻底解决传统裸Socks5明文漏洞，全程无裸数据，中间人、服务器运维人员均无法窃取上网信息。

八、常见问题答疑

1. 开启use_encryption后，异地访问端需要配置加密吗？

不需要。加密仅作用于FRP隧道内部，异地设备只需标准Socks5连接，零配置、即用即走。

2. 全程TLS+HTTPS会不会拖慢网速？

几乎无影响。加密运算消耗极低CPU，搭配use_compression数据压缩，实际网速损耗可忽略，速度瓶颈仅取决于老家宽带上传带宽。

3. 无公网IP能否稳定使用？

完全可以。本方案核心就是适配家用无公网IP环境，依托云服务器中转加密，稳定性远超DDNS、端口转发方案。

合规提醒：本方案仅用于个人正常网络使用、访问本地限定资源，禁止用于翻墙、批量注册、刷量作弊等违规用途，严格遵守网络安全相关法律法规。