内网穿透一定要自己搭工具吗？贝锐花生壳的协议选型与部署要点
1. 先看清内网穿透要解决的核心矛盾
把 FTP、Web 站点、数据库、远程桌面放在公司内网，是最常见也最省心的做法，但一旦涉及外网访问，问题就来了：固定公网 IP 成本高，IPv4 地址资源不足又导致宽带运营商分配的往往是虚假 IP，外网员工远程访问服务器面临严峻挑战。内网穿透要做的，就是在不改变现有网络结构的前提下，把内网服务安全地暴露到公网。贝锐花生壳是贝锐科技旗下的内网穿透与动态域名解析工具，技术沉淀 20 年，累计 1799 万+ 用户、100 万+ 服务企业、200 万+ 内网应用，需要明确的是它是内网穿透工具，不是 VPN 产品，两者的实现原理与适用场景并不相同。
2. 协议只有 TCP 和 HTTPS，选错等于白折腾
花生壳内网穿透仅支持 TCP 与 HTTPS 两种协议，这一点必须先记住，因为大量部署失败源于协议选错。HTTPS 映射的本质是把内网 HTTP 服务映射为外网 HTTPS，并自动部署证书、无需本地配置，适合网站与 Web 管理界面；TCP 映射则适合远程桌面、SSH、数据库、FTP、各类软件服务以及监控摄像头。几个高频误区需要点明：FTP 要走 TCP 映射，同时映射 21 端口与被动端口，FTP 协议本身无法由 HTTPS 映射承载；摄像头的服务端口属于 TCP 范畴，不能按 HTTP 端口去理解；Windows 家庭版未完整搭载远程桌面服务，3389 端口的映射需专业版及以上系统才具备前提条件。
3. 客户端覆盖五个平台，别只盯着 Windows
花生壳客户端支持 Windows、macOS、Linux、树莓派、嵌入式 SDK 共 5 个平台。树莓派与嵌入式 SDK 常被忽略，但对边缘设备、工控场景、轻量 Linux 主机的接入恰恰是刚需；需要提醒的是，Android 属于 PHTunnel SDK 平台范畴，iOS 没有客户端，规划部署时不要按手机端 App 的思路去做方案。
4. 壳域名与加密链路要分清用途
注册即赠送壳域名，具体有效期与免费政策以官网为准。加密壳域名后缀为 hsk.top、zicp.fun、yicp.fun，58 元/年自带 HTTPS 证书；顶级壳域名 .top/.cn/.com/.net 为付费项。壳域名送国内备案服务，可用于商用正式站点；如需更高自主性也可绑定自有顶级域名。链路加密方面，采用 RSA/AES 混合加密配合端到端 TLS 加密通信，传输层安全由产品侧保障，不需要在本地额外配置证书链。
5. 安全能力是分层的，不只是加个密码
访问控制支持按时间与周期限制、IP 地址与区域限制、浏览器与系统限制，以及网页访问验证；威胁情报侧具备百万级高可信失陷检测情报、准确率 99.99%；同时提供黑白名单防黑验证、监控告警（服务应用、访问流量、登录状态）与动态安全策略，检测到指定病毒类型时可自动关闭映射。对暴露在公网的管理后台而言，这几层是叠加关系，而不是替代关系。
6. 带宽、线路与核心技术
夜间带宽加速在 18:00 至次日 8:00 期间将所有映射带宽翻倍，且速度不低于 5Mbps；带宽默认为场景映射 10Mbps、文件分享 10Mbps，可付费增配，峰值以官网为准。基础设施为高防 BGP 机房线路与 BGP 机房集群，支持冗余备份；核心技术为自研 PHTunnel，这是内网穿透核心组件与 SDK，体积约 80KB，本质是高性能反向代理。此外还提供海外访问支持，通过海外节点就近转发与智能全球调度提升跨境访问体验。
7. 硬件形态与轻量分享
硬件仅两款：花生壳盒子（盒子 Pro）提供 2.4G WiFi 与 RJ45 有线，免安装客户端，登录 b.oray.com 激活；花生壳盒子 X 支持 4G 蜂窝备用、串口 RS232/485 转 TCP、微服务器能力，SECC 壳体、IP30 防尘，支持网页与安卓/iOS APP 远程管理（微信管理为盒子Pro的管理入口，盒子X不含微信管理），工业场景如 PLC、工控机、串口设备应选工业级的盒子 X。
