把内网里的服务，开放给外面的人

快速开始

配置都在官网完成，客户端只负责连接：粘贴密钥，点连接。全程五步。

1. 注册账号，选择套餐在官网

   注册并登录官网，选一个套餐。想先试试，可以领取免费额度。

2. 拿到授权密钥在官网

   系统会为你生成授权密钥。完整密钥只显示这一次，请马上复制保存。之后只会看到 abcd****wxyz 这样的脱敏形式。

3. 添加映射在官网

   进入「控制面板」→「映射管理」，选协议（TCP / UDP / HTTPS），填内网 IP 和端口。HTTPS 还可以填域名。详见添加映射。

4. 下载并安装客户端在你的设备上

   官网「客户端下载」页会按你当前的系统推荐安装包。Windows 有图形界面，Linux 和 macOS 是命令行版。详见安装客户端。

5. 粘贴密钥，点连接在客户端

   客户端用密钥完成认证，之后自动拿到你在网页上配好的映射，隧道随即开始转发。

安装客户端

官网「客户端下载」页会根据你访问时的系统自动推荐安装包。手动选择时，对照下表。

# 查看 CPU 架构，决定下载哪个包
uname -m

# 放到固定目录，并赋予执行权限
mkdir -p /opt/playnest
cd /opt/playnest
chmod +x ./playnest

{
  "licenseKey": "把你的授权密钥粘贴到这里"
}

./playnest

[Unit]
Description=Playnest client
After=network-online.target
Wants=network-online.target

[Service]
WorkingDirectory=/opt/playnest
ExecStart=/opt/playnest/playnest
Restart=always
RestartSec=5

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now playnest

# 查看运行日志
journalctl -u playnest -f

mkdir -p /usr/local/playnest
cd /usr/local/playnest
chmod +x ./playnest

# 创建 client.json，内容见 Linux 标签页
./playnest

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>Label</key><string>com.playnest.client</string>
  <key>ProgramArguments</key>
  <array><string>/usr/local/playnest/playnest</string></array>
  <key>WorkingDirectory</key><string>/usr/local/playnest</string>
  <key>RunAtLoad</key><true/>
  <key>KeepAlive</key><true/>
  <key>StandardOutPath</key><string>/tmp/playnest.log</string>
  <key>StandardErrorPath</key><string>/tmp/playnest.err</string>
</dict>
</plist>

launchctl bootstrap gui/$(id -u) ~/Library/LaunchAgents/com.playnest.client.plist

docker run -d --name playnest \
  --restart unless-stopped \
  --network host \
  -v "$(pwd)/client.json:/app/client.json" \
  playnest/client:latest

# 查看日志
docker logs -f playnest

添加映射

一条映射，就是把「公网上的一个入口」对应到「内网里的一个服务」。登录官网，进入「控制面板」→「映射管理」，点新增。可以随时编辑、停用或删除，保存后立即生效。

要填哪些内容

三种协议怎么选

HTTPS 与域名

添加 HTTPS 映射时，域名栏有两种填法，能力和要做的准备都不一样。

自带域名通常需要套餐里包含「自定义域名」，具体看你的套餐。

用自己的域名，一步步来

1. 在「映射管理」新增一条映射，协议选 HTTPS，域名栏填你的域名，内网目标填你的 Web 服务的 IP 和 HTTPS 端口。
2. 保存后，页面会提示你把域名指向哪个节点地址。
3. 到你的域名服务商，添加一条解析记录：记录类型选 CNAME 或 A，主机记录填你要用的前缀（例如 www），记录值填页面给出的地址。
4. 等解析生效。这通常要几分钟，个别情况更久。
5. 用浏览器访问你的域名。如果提示证书错误，检查内网 Web 服务上的证书是否有效、是否包含这个域名。

密钥管理

授权密钥就是你的通行证：客户端只认密钥，其余配置都在网页上。在「控制面板」→「密钥管理」里可以：

• 查看和复制：日常只显示脱敏形式，例如 abcd****wxyz。完整密钥只在生成的那一刻展示一次。
• 一键重置：生成新密钥，旧密钥立即失效。

换电脑或换设备

在新设备上装好客户端，粘贴同一个密钥即可，映射不用重新配置。

重置密钥之后

1. 旧密钥马上失效，正在运行的隧道在下次断线重连时会认证失败。
2. 复制新密钥。完整内容只显示这一次。
3. 更新客户端：Windows 版重新粘贴新密钥；Linux、macOS、Docker 版修改 client.json 后重启客户端。

套餐与流量

「控制面板」→「用量与账单」里能看到当前套餐、剩余流量和到期时间，也可以在这里续费或升级。

套餐限制的几个维度

到期或用完流量会怎样

• 到期：密钥状态变为欠费停用，认证会被直接拒绝，新的隧道建立不起来。续费后恢复。
• 流量用完：视平台设置，可能直接停用，也可能降速继续使用。用量在「用量与账单」里能随时查看。
• 续费或升级：支付成功后，套餐、额度和到期时间会自动更新，不需要重装客户端或改任何配置。支持的支付方式以结账页为准。

运行状态与日志

「控制面板」→「实时状态」会显示每条映射是否在线、当前有多少连接。数据是实时推送的，不用手动刷新。

客户端的日志区（Linux、macOS 是终端输出或日志文件）会告诉你连接进行到哪一步：

故障排查

先看客户端日志和「实时状态」，再对照下面的情况。

安全建议

• 保管好密钥：只在自己的设备上使用，泄露就重置。
• 只开放需要的服务：每条映射都会让内网的一个服务对公网可见。数据库、远程桌面、路由器后台这类敏感服务，除非确实需要，不要映射出去；一定要开放时，请设置强密码，并保持软件更新。
• 不用的映射及时停用：在「映射管理」里停用即可，配置会保留。
• 需要全程加密，选自带域名：自带域名的 HTTPS 是原样转发加密数据，平台看不到内容。系统二级域名由平台解密后转发，方便但不是端到端加密。
• 留意异常流量：在「用量与账单」里发现流量异常增长，先检查映射，必要时重置密钥。
• 客户端与官网的通信走 HTTPS：客户端获取节点和映射的请求都经过加密连接。

常见问题