🍸VPN、跳板机与内网穿透：校外访问校园内网的三种核心方案
约 1171 字大约 4 分钟
NetworkVPNIntranet
2026-01-23
在校外访问校园内服务器，常见且成熟的方案主要可以归纳为三大类：
- 内网穿透（将内网服务暴露到公网）
- VPN（将客户端接入校园内网）
- 跳板机（通过受控中转节点访问内网）
1.内网穿透（公网暴露）
核心粒度：被放行的端口（Port）
内网穿透的本质是端口映射。核心思路是让位于内网中的主机主动连接公网中继服务器，将内网服务的特定端口（如 8080）映射到公网中继服务器的某个端口（如 18080）。
外部用户访问公网地址后，请求经由隧道被转发至内网主机上的目标服务。谁掌握了公网地址和端口，谁就能访问服务，因此风险控制的颗粒度主要在具体的“端口/服务”上。
典型工具：
- frp
- ngrok
- Cloudflare Tunnel
适用场景：
- 临时调试
- 单一服务对外暴露
- 无法使用校园 VPN 的情况下
注意
内网穿透会直接扩大服务的公网暴露面，在校园网环境下通常更容易触发安全策略或审计，不适合长期、稳定使用。
2.跳板机（Bastion Host）
核心粒度：用户身份（Identity）
跳板机的核心是身份鉴权。在公网与内网之间设置一个受控的中转节点，只有拥有跳板机登录权限的用户（Who）才能通过验证，进而访问内网资源。
它的控制粒度在于“谁可以登录这台机器”，通常结合 SSH Key、MFA（多因素认证）进行严格的身份识别。只有验证通过的人，才有机会触达内网。
典型实现方式：
- SSH ProxyJump（
ssh -J user@jump user@internal） - SSH 本地 / 远程端口转发
- 专业堡垒机（JumpServer、Teleport 等）
适用场景：
- 运维管理
- 多用户访问内网服务器
- 对访问审计和权限控制要求较高的环境
注
从内网服务器的视角看，跳板机相当于唯一被加入白名单的外部访问节点。 但在整体架构中，它不仅承担访问中转，还负责访问路径收敛、权限控制与操作审计。
3.VPN（虚拟接入内网）
VPN 的核心思路是： 通过建立加密隧道，将用户设备逻辑上接入校园内网，使其具备内网 IP 与路由能力。
典型工具：
- OpenVPN
- WireGuard
- 学校官方 VPN 客户端
适用场景：
- 需要访问多个内网资源
- 长期、稳定使用
- 教学、科研、实验室环境
方案对比
| 维度 | 内网穿透 | VPN | 跳板机 |
|---|---|---|---|
| 核心思路 | 暴露单个内网服务 | 客户端接入内网 | 受控中转访问 |
| 访问粒度 | 端口/服务级 | 网络/IP级 | 用户身份/会话级 |
| 暴露范围 | 单端口 / 单服务 | 逻辑可达多个内网资源 | 按需授权 |
| 安全性 | 较低 | 较高 | 高 |
| 部署复杂度 | 低 | 中 | 中 |
| 典型场景 | 临时调试 / Demo | 日常办公 / 科研 | 运维管理 / 安全审计 |
| 常见工具 | frp, ngrok | WireGuard, OpenVPN | SSH ProxyJump, 堡垒机 |
要点汇总
在校园网环境中：
- 优先选择 VPN：最合规、最稳定，最接近“在校内使用”的体验
- 跳板机适合需要严格控制与审计的场景：常见于实验室与运维环境
- 内网穿透仅建议用于临时或受控用途：不适合作为长期方案
实际选型时，应综合考虑校园网络策略、安全要求与使用周期，选择最合适的访问方式。