一、原理与链路

为什么选 SSH 而不是 frp

frp 是专门做内网穿透的工具，功能更强。但在实际网络环境下不可用——本机出口仅放行 22 端口，实测 443 / 8443 / 7000 均在握手后被切断（现象为精确 5 秒后断开，服务器侧无 TIME_WAIT 记录）。

SSH 是唯一稳定通道，且无需额外常驻进程。frp 仍保留在服务器上作为备用，若将来网络环境允许可直接启用。

两个方向的角色

二、当前线上状态

服务器端配置位置

端口可达性实测

三、加一个新项目

以新增一个跑在本地 8080 的项目为例。

端口分配约定

新端口需避开已占用项：80、443、30327、8080、8081。

# -f 让隧道在后台运行
ssh -N -f \
  -o ExitOnForwardFailure=yes \
  -o ServerAliveInterval=30 \
  -R 12080:127.0.0.1:8080 \
  ubuntu@<服务器IP>

ssh ubuntu@<服务器IP> "ss -tln | grep 12080"

ssh ubuntu@<服务器IP>
sudo cp /etc/caddy/Caddyfile /etc/caddy/Caddyfile.bak-$(date +%H%M)
sudo nano /etc/caddy/Caddyfile

	handle /demo2 {
		rewrite * /demo2/
		reverse_proxy 127.0.0.1:12080 {
			header_up Host 127.0.0.1:8080
			header_up Origin http://127.0.0.1:8080
		}
	}
	handle_path /demo2/* {
		reverse_proxy 127.0.0.1:12080 {
			header_up Host 127.0.0.1:8080
			header_up Origin http://127.0.0.1:8080
		}
	}

sudo caddy validate --config /etc/caddy/Caddyfile --adapter caddyfile
sudo systemctl restart caddy

curl -s -o /dev/null -w '%{http_code}\n' http://<服务器IP>/demo2/

一键脚本

# 单个隧道
./start-demo.sh 3002

# 并行开多个
./start-demo.sh 3002 8080

加新项目只需改脚本顶部映射表：

四、前端项目写法

原因

CRA / Vite 这类项目打包后，HTML 里资源引用是绝对路径：

<script defer src="/static/js/bundle.js"></script>

浏览器拿到 /demo2/ 的 HTML 后，会直接去请求 http://<服务器IP>/static/js/bundle.js —— 不带 /demo2 前缀。 如果 Caddy 只配了 /demo2/*，这些请求全部 404。

解法：额外转发根路径资源

	handle /static/* {
		reverse_proxy 127.0.0.1:8080 {
			header_up Host 127.0.0.1:3002
			header_up Origin http://127.0.0.1:3002
		}
	}
	handle /runtime-env.js {
		reverse_proxy 127.0.0.1:8080 { ... }
	}
	handle /Inter.ttf {
		reverse_proxy 127.0.0.1:8080 { ... }
	}
	handle /*/logo.ico {
		reverse_proxy 127.0.0.1:8080 { ... }
	}

根本解法

在项目里设 PUBLIC_URL，让构建产物自带路径前缀：

# .env 或 .env.production
PUBLIC_URL=/demo2

改完需重启 dev server。这样资源路径自带前缀，路由就能干净区分，也不必再维护根路径规则。当前方案未改动项目配置。

五、后端服务写法

不涉及静态资源，只需入口路由：

	handle /api/* {
		reverse_proxy 127.0.0.1:12080 {
			header_up Host 127.0.0.1:8080
		}
	}

若服务自身会重定向，需额外处理路径：

	handle /demo2/* {
		rewrite * /
		reverse_proxy 127.0.0.1:12080 {
			header_up Host 127.0.0.1:8080
		}
	}

六、多项目共存

方式 1：分配不同端口与前缀

	# 项目 A
	handle /a { rewrite * /a/ reverse_proxy 127.0.0.1:8080 { ... } }
	handle_path /a/* { reverse_proxy 127.0.0.1:8080 { ... } }
	handle /a/static/* { reverse_proxy 127.0.0.1:8080 { ... } }

	# 项目 B
	handle /b { rewrite * /b/ reverse_proxy 127.0.0.1:12080 { ... } }
	handle_path /b/* { reverse_proxy 127.0.0.1:12080 { ... } }
	handle /b/static/* { reverse_proxy 127.0.0.1:12080 { ... } }

但这仍要求项目资源路径自带前缀（即设了 PUBLIC_URL=/a/），否则浏览器仍请求 /static/js/bundle.js，匹配不到 /a/static/*，又会白屏。

方式 2：改项目 PUBLIC_URL（根本解法）

在各项目 .env 中加 PUBLIC_URL=/a，重启 dev server。构建产物自带前缀后，路由可干净区分。

方式 3：分开部署

不同项目用不同端口甚至不同服务器，简单但资源浪费。

七、迁移到新服务器

sudo apt update && sudo apt install -y caddy

curl -s -o /dev/null -w 'code=%{http_code} time=%{time_total}\n' \
  --max-time 10 http://<新服务器IP>/

迁移步骤

ssh-copy-id ubuntu@<新服务器IP>

ssh ubuntu@<旧服务器IP> "sudo cat /etc/caddy/Caddyfile" > caddy-backup.txt

{
	admin off
}

http://<新服务器IP> {
	handle /demo1 {
		rewrite * /demo1/
		reverse_proxy 127.0.0.1:8080 {
			header_up Host 127.0.0.1:3002
			header_up Origin http://127.0.0.1:3002
		}
	}
	handle_path /demo1/* {
		reverse_proxy 127.0.0.1:8080 {
			header_up Host 127.0.0.1:3002
			header_up Origin http://127.0.0.1:3002
		}
	}
	handle /static/* {
		reverse_proxy 127.0.0.1:8080 {
			header_up Host 127.0.0.1:3002
			header_up Origin http://127.0.0.1:3002
		}
	}
	handle /runtime-env.js {
		reverse_proxy 127.0.0.1:8080 { ... }
	}
	handle /Inter.ttf {
		reverse_proxy 127.0.0.1:8080 { ... }
	}
	handle /*/logo.ico {
		reverse_proxy 127.0.0.1:8080 { ... }
	}
}

sudo caddy validate --config /etc/caddy/Caddyfile --adapter caddyfile
sudo systemctl enable caddy && sudo systemctl restart caddy

SERVER="${TUNNEL_SERVER:-ubuntu@<新服务器IP>}"

./stop-demo.sh
./start-demo.sh 3002

迁移验收清单

• 新服务器安全组已放行 22 和 80
• 从外部测 curl http://<新IP>/ 返回 200（非 5 秒超时）
• Caddy 已 enable，重启后仍生效
• 本机公钥已推送到新服务器
• 脚本中的地址已全部替换
• 隧道建立后 ss -tln | grep 8080 有输出
• 页面返回 200 且 bundle.js 能加载（不是空白页）

八、故障排查

诊断命令

# 本机：隧道是否在
pgrep -f "ssh -N.*-R 8080"

# 服务器：隧道是否在
ssh ubuntu@<IP> "ss -tln | grep 8080"

# 服务器：端到端（必须带 Host 头，否则会跳 https）
ssh ubuntu@<IP> "curl -s -o /dev/null -w '%{http_code}\n' \
  -H 'Host: <IP>' http://127.0.0.1/demo1/"

# Caddy 日志
ssh ubuntu@<IP> "sudo journalctl -u caddy --no-pager -n 30"

九、命令速查

隧道管理

./start-demo.sh 3002                # 启动（参数为本地端口）
./start-demo.sh 3002 8080           # 并行开两个
./stop-demo.sh                      # 停止全部
cat /tmp/tunnel.log                  # 隧道日志

服务器运维

ssh ubuntu@<IP>
sudo systemctl status caddy
sudo systemctl restart caddy
sudo caddy validate --config /etc/caddy/Caddyfile --adapter caddyfile
sudo tail -50 /var/log/caddy.log
free -h                              # 内存占用参考

改配置前必做

sudo cp /etc/caddy/Caddyfile /etc/caddy/Caddyfile.bak-$(date +%H%M)

十、注意事项