本地部署 AI 服务的安全远程访问方案：零公网 IP 暴露

当我们选择本地部署 AI 模型（如 LLaMA、Stable Diffusion）时，核心动机之一往往是对数据隐私的绝对控制。但随之而来的问题是：如何从外部网络安全地访问这些服务？

直接开放端口意味着牺牲安全性，而完全内网使用则牺牲了便利性。这里分享一种折中方案：实现无需公网 IP、零端口暴露的远程安全访问。

将本地服务的端口通过路由器映射到公网（Port Forwarding），是常见的暴力解决方案，但风险显著：

思路很简单：不让本地服务在公网'露面'，而是让外部访问者通过一条加密的'专属通道'直接进入内网。这可以通过基于零信任网络的 P2P VPN 工具实现。

市面上有多个开源和商业产品可实现此功能，其原理类似。下面以 Tailscale 或 ZeroTier 这类主流工具为例，说明如何搭建。

假设 AI 服务运行在 Ubuntu 上。你需要下载并安装客户端，然后登录认证，设备即加入你的私有网络。

# 示例：Tailscale 安装命令（具体请参考官方文档）
curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

该主机会获得一个虚拟网络 IP，例如 100.66.1.10。

在你的手机或公司电脑上安装对应客户端，使用同一个账号登录。该设备也会获得一个同网段 IP，例如 100.66.1.20。

现在，你在公司电脑的浏览器中直接访问 http://100.66.1.10:7860（假设 AI 服务运行在 7860 端口），流量路径如下：

公司电脑 -> 加密隧道 -> 家庭 AI 主机

关键点在于：你的家庭路由器从未收到来自公网 IP 公司电脑对端口 7860 的请求。所有流量被封装在加密隧道中，对于公网而言是'不可见'的。

此类工具通常采用以下技术组合：

更多推荐文章