无公网访问 —— 使用 Lucky 的 STUN 内网穿透

感谢 qaz741wsd856 作者的分享，非常优秀的教程
打通大内网第一期 无公网部署 https 和反向代理 （基于 Lucky 的 STUN 穿透） - 简书

因为现在运营商已经不再发放公网 ipv4 地址，所以只能使用公网 ipv6 地址作为服务站点。但是 ipv6 并不是所有网络环境都具备的，为了使服务更加普适，我尝试利用 STUN 内网穿透实现此需求。

内容完全参考原教程，我只是将部署过程中的过程调整了一些，省略了一些：

首先确认满足以下条件：

• NAT 类型为 NAT1，即 fullcone；
• 光猫桥接或开启 dmz；
• 路由器能刷机或者开启 upnp/dmz

我在办理宽带时已经做好光猫桥接，并在红米 AX6000 路由器上安装了 Lucky 插件。基于此前提，有以下的实现步骤：

开启 STUN 内网穿透

进入 Lucky 插件后台，点击 STUN内网穿透选项

更新 STUN 服务列表

• always-online-stun/valid_hosts_tcp.txt at master · pradt2/always-online-stun · GitHub
• 进入设置，将可用的 Stun 服务列表粘贴在到全局Stun服务器列表中
  
  

  image700×411 9.29 KB

添加穿透规则

点击穿透规则列表 - 添加穿透规则具体设置如下：

image732×607 16.7 KB

image985×222 15.1 KB

设置 cloudflare 的重定向规则

因为使用 STUN 穿透时，不光 ip 地址会变，端口也会变，使用起来十分不便利。
这时可以利用 cloudflare 的重定向规则，访问域名时自动跳转到穿透后的 IP: 端口，不损失速度。
如何实现地址更新呢？其实就是利用 webhook，将变更的 IP 地址填入 cloudflare 的请求体，PATCH 请求重定向规则的 API，实现自动绑定地址到域名的效果。

解析域名

访问 cloudflare，在你的网址的 DNS 中添加一个 A 类型的记录，ipv4 地址从下面站点优选一个填入，代理状态勾选：

• http://ip.flares.cloud/

image849×110 2.44 KB

配置重定向规则

点击左侧菜单的规则 - 重定向规则，在单一重定向页面下点击创建规则，规则名称随意设置。

当传入请求匹配时... 处选择自定义筛选表达式，字段选择主机名，运算符选择等于，值需填入自行设置的用于跳转的域名；示例为 test.yourdomain.com，test 为自定义的二级域名前缀，yourdomain.com 换成你的顶级域名。

URL 重定向处选择类型为动态并勾选保留查询字符串，状态码选择 302 或 307 均可；表达式填入当前 STUN 穿透成功的地址即可，然后点击部署。

image921×828 22.1 KB

抓包获取请求内容

部署规则成功后，重新点击编辑，这时按 F12 打开开发者工具，点击右侧开发者工具的网络或者 network 选项卡，然后再点击保存按钮。

接下来可以在开发者工具中看到一串数字 + 字母的项，点击它，在标头选项卡下复制并保存下它的请求网址；然后切换到载荷选项卡，右键第一行复制并保存它的值。

image687×251 75.8 KB

image685×309 60.5 KB

https://dash.cloudflare.com/api/v4/zones/区域id/rulesets/规则集id/rules/规则id

请求载荷：

{
  "id": "c7087a0fb757480xxxxxxxxxxxxxxxx",
  "version": "1",
  "action": "redirect",
  "expression": "(http.host eq \"test.yourdomain.com\")",
  "description": "redirect",
  "last_updated": "2024-05-28T08:14:45.555123Z",
  "ref": "c7087a0fb757480xxxxxxxxxxxxxxxx",
  "enabled": true,
  "action_parameters": {
    "from_value": {
      "status_code": 307,
      "target_url": {
        "expression": "concat(\"http://183.6.66.666:6666\", http.request.uri.path)"
      },
      "preserve_query_string": true
    }
  }
}

自动更新重定向规则

创建 cloudflare 令牌

我们需要一个 cloudflare 编辑重定向的令牌：

• 点击 Cloudflare 控制台右上角 - 我的个人资料，在左侧菜单点击 API令牌，页面中点击创建令牌。

• 在令牌创建页面选择创建自定义令牌。

• 权限和区域资源如图设置，区域资源第三列选择你要用于跳转的域名
  

  

  image850×1018 30.5 KB

然后点击继续 - 创建令牌

• 保存第二行双引号里的内容 Authorization: Bearer ******-****，作为接下来要使用 Webhook 的请求头

curl -X GET "https://api.cloudflare.com/client/v4/user/tokens/verify" \  
     -H "Authorization: Bearer ******-****" \  
     -H "Content-Type:application/json"

编辑 webhook

• 接口地址：

https://api.cloudflare.com/client/v4/zones/区域id/rulesets/规则集id/rules/规则id

将请求网址的前半部分 https://dash.cloudflare.com/api/ 替换为 https://api.cloudflare.com/client/ 即可

• 请求方法：PATCH
• 请求头：

Authorization:Bearer API 令牌

• 请求主体：
  把之前保存的请求载荷删去 last_updated 和 version 后，将 expression 中的 ip:端口替换为#{ipAddr}
  你的 id、ref 应该与规则id 一致，description 就是之前设置的规则名称。
  参考样式：

{
  "id": "c7087a0fb757480xxxxxxxxxxxxxxxx",
  "action": "redirect",
  "expression": "(http.host eq \"test.yourdomain.com\")",
  "description": "redirect",
  "ref": "c7087a0fb757480xxxxxxxxxxxxxxxx",
  "enabled": true,
  "action_parameters": {
    "from_value": {
      "status_code": 307,
      "target_url": {
        "expression": "concat(\"http://#{ipAddr}\", http.request.uri.path)"
      },
      "preserve_query_string": true
    }
  }
}

填完后点击 Webhook 手动触发测试，查看返回内容中是否包含接口调用成功字符串："success": true。

image600×294 3.75 KB

配置全局 Stun Webhook

因为更新 webhook 已经被占用，可以使用全局 webhook 来通知更新情况，我这里使用反代后的 tg bot 接口：
请求主体：

{
  "chat_id": "",
  "text": {
    "Device": "Lucky STUN",
    "ipv6": {
        "time": "#{time}",
        "addr": "#{ipAddr}",
        "rule name": "#{ruleName}"
    }
}
}

然后就完事了，访问域名看看是不是正常跳转了。

因为有重定向表达式会触发 waf，劳烦各位去原教程处查阅：