自建组网 · 选型速览 · 2026-10-29

Pangolin 一页讲明白

自建版 Cloudflare Tunnel + 零信任组网：一台公网 VPS + Docker 就能跑，家里那侧一个端口都不用开。

四个关键结论

Web 后台
✅ 内置面板
建资源、发一次性分享链接
部署
✅ Docker 一键
官方 installer 装整套 compose
私有资源数据面
✅ 默认 P2P 直连
打洞失败才绕 VPS 中继
中继传输
⚠️ 只有 UDP
无 TCP 回落，UDP 被封就不通

客户端 → 内网：默认直连，打不通才绕 VPS

Pangolin 客户端 Win/mac/Linux/手机 VPS · Pangolin 节点 Gerbil 中继 / Traefik 反代 内网 Site · Newt SSH/DB/RDP/任意端口 ① 默认：打洞直连，数据不过 VPS ② 打洞失败 → 经 VPS 中继（UDP 21820，端到端加密不变） 客户端之间互不相通，客户端只连 Site

支持哪些协议

类型能用的认证
公开资源
浏览器直连		 HTTP/HTTPS · SSH · RDP · VNC（浏览器里开会话）
Raw TCP / UDP（任意端口）		 HTTP/SSH/RDP/VNC 有
Raw TCP/UDP 无
私有资源
需装客户端		 Host(IP:端口) · 整段 CIDR 网段 · HTTP · SSH · Exit Node
TCP/UDP 任意端口（数据库、Redis、内网服务）		 全部有
（按用户/角色授权）

是不是 Docker 一键部署？是

服务端就是一套 Docker Compose 三件套：pangolin（面板/API/认证）+ gerbil（WireGuard 网关与中继，持有对外端口）+ traefik（TLS/路由，跑在 gerbil 的 name-space 里），可选 crowdsec。

curl -fsSL <installer 地址> -o installer
sudo ./installer   # 交互式：社区版 / 域名 / 邮箱 / 是否装 Gerbil
80/tcp443/tcp 51820/udp21820/udp 客户端中继

前置：Ubuntu/Debian 有公网 IP 的机器 + 域名 A 记录 + 上面 4 个端口放行。

内网机器：Docker 跑 Newt 容器（或单个二进制） → 出站连 VPS → 家里零开放端口 / 无需公网 IP

用之前要知道的三个坑

  • 中继只有 UDP，没有 TCP 回落 → UDP 被运营商/企业网关挡死的地方会直接连不上，不是"慢"。
  • 同网段直连功能不稳：界面显示 Local、抓包却发现流量还在绕 VPS（官方 issue + 媒体实测都有）。
  • 公开 Raw TCP/UDP 不做认证：敏感端口请一律走私有 Host / CIDR 资源。

来源：Pangolin 官方文档 System Architecture / NAT Traversal / Quick Install（2026-10-29 核对）；GitHub issue #3634。