在家办公时，想访问公司内网的文件服务器，却发现端口被封锁；或者你在异地部署了一台私有服务，希望朋友能安全接入，又怕信息泄露。这些场景下，网络隧道就是你的“隐形桥梁”。
什么是网络隧道？
简单来说，网络隧道就是把一种网络协议的数据包，封装在另一种协议中进行传输。就像把一封信放进一个更坚固的信封里，通过普通邮路寄出，到了目的地再拆开取出原信。最常见的用途是让私有网络的数据通过公网安全传输，比如用SSH、IPSec或GRE实现跨地域连接。
常见的隧道建立方式
不同的使用场景适合不同的隧道技术。下面介绍几种实用且广泛支持的方法。
SSH 隧道：最简单的本地转发
如果你只需要临时打通某个端口，SSH隧道是最轻量的选择。比如你有一台云服务器，上面运行着MySQL（默认3306端口），但出于安全考虑没对公网开放。这时可以用本地SSH隧道将远程数据库映射到本机：
ssh -L 3306:localhost:3306 user@your-server.com执行后，访问本机的3306端口就等于访问远程服务器的MySQL。整个过程自动加密，不需要额外配置防火墙规则。
反向SSH隧道：从内网穿透到外网
有些设备在公司或家庭局域网内部，没有公网IP，外部无法直接连入。这时候可以由内网机器主动向外网服务器建立反向隧道：
ssh -R 2222:localhost:22 user@gateway-server.com这条命令的意思是：把当前内网主机的22端口（SSH服务）映射到公网服务器的2222端口。之后只要登录公网服务器，再执行 ssh -p 2222 localhost，就能间接登录那台内网设备。
WireGuard：现代高性能虚拟私有网络
如果需要长期稳定的点对点连接，比如连接两个办公室之间的局域网，WireGuard 是目前效率最高、配置最简洁的方案之一。它基于UDP，内核级实现，延迟低，特别适合移动设备和弱网环境。
先在两台主机上安装 WireGuard：
sudo apt install wireguard生成密钥对：
wg genkey | tee privatekey | wg pubkey > publickey假设A机公网IP为 1.2.3.4，B机为 5.6.7.8，各自配置 /etc/wireguard/wg0.conf 如下：
[Interface]
PrivateKey = A机私钥
Address = 10.0.0.1/24
[Peer]
PublicKey = B机公钥
AllowedIPs = 10.0.0.2/32
Endpoint = 5.6.7.8:51820B机配置类似，地址互换。启动后两台机器就像在同一局域网一样，可以直接ping通 10.0.0.1 或 10.0.0.2。
HTTP反向代理：Web服务的伪装隧道
有时候你想暴露一个内网Web服务（如本地测试的网站），但只允许80和443端口通行。可以用 Nginx 做反向代理，或者借助 ngrok 这类工具快速生成可访问链接。
比如使用ngrok：
ngrok http 8080运行后会得到一个类似 https://abcd1234.ngrok.io 的地址，任何人在外网打开它，都会被转发到你本地的8080端口。适合演示、调试，原理上也是一种应用层隧道。
选择哪种方式？看实际需求
如果你只是偶尔查个日志、连个数据库，SSH隧道足够用；要是构建长期互联的私有网络，WireGuard 更合适；而面对纯Web项目展示，ngrok 或 Cloudflare Tunnel 能省去一堆配置。关键不是技术多炫酷，而是解决问题是否干净利落。
隧道的本质，是绕过限制的同时保持通信的完整与安全。掌握几种常用方法，遇到网络不通的情况，心里就有底了。