中文 | English

快速概览【快速上手手册】 【三方视频教学- B站】

• 平台适配，支持linux、windows、macos、android、（tob，小型机：hp-unix、solaris、AIX）
  
• cpu架构，支持x86、arm、mips、riscv（tob：alpha、PowerPC、SPRAC）
  
• 注重安全，“内网”到“内网”的穿透，无需映射任何端口到外网，不更改任何防火墙配置
  
• 注重带宽，”4G手机+v6宽带“采用P2P方式访问内网服务（基于TCP协议，v4支持NAT1-3穿透）
  
• 注重节约，无需购买vps、无需公网IP；家中淘汰Android手机可做服务器
  
• 注重可靠，随用随有，可7*24不间断服务，且不受UDP协议Qos之苦
  
• 注重可控，客户端一点配置，且随时随地控制服务开启/关闭
  
• 注重环保，免安装，体量小巧（mini版1MB左右） allinone，高性能且资源占用最少
  
• 注重便携，无论工作或是度假，不管在任何地方，只要手机有网络，一切尽在掌控
  
• ......如果这都是你想要的！请耐心继续往下看；如果你还想要...请提issue，【更新历史】也有看头哦
  
• 免费，测试稳定后考虑开源.
  
• 包含一个android客户端和需内网安装的服务端.
  

APP端配置（必须）--- 无法正常使用典型情况

• 必须配置“允许后台运行”权限，否则切后台即被系统断连
• 必须配置“休眠时始终保持网络连接”，否则一旦休眠则被系统断连
• 可以配置“允许自启动”权限，否则Android服务端模式下无法开机启动（v0.30及后续版本）
• 可以配置“麦克风”权限，否则Android服务端无法提供语音监听功能（v0.30及后续版本）
• 注意：SG官方代理不提供到港澳台及国外IP的数据转发

smarGate是什么？

官方命名为“移动网关”，通过手机客户端将位于内网的服务端网络进行按需暴露，核心引擎采用c++实现。

“移动网关”是用户私有网关，所有共享访问入口都在客户端，不是类似其它穿透工具主推的面向域名的公共访问入口。打个比方：smarGate是将防盗门随身携带，其它穿透产品是将防盗门放到公共场所，额...虽然需要钥匙，但有种职业叫开锁匠

具备如下技术特点：

• 安全性
  
  • 手机客户端作为主要的访问入口，按需开放，及时关闭。
    
  • 支持服务端间端口映射组网（v0.31及以后版本）。
    
  • 电脑可以接入手机热点或wifi环境下通过访问手机开放的端口穿透到内网进行访问（客户端会显示手机ip）。
    
  • 手机网络一般为私有网段别人无法访问。
    
  • 用户间隔离。
    
• 扩展性
  
  • 基于内网网段代理，可以配合众多工具实现各种网络服务能力（telnet、ssh、http服务、内网摄像头、远程桌面等）
    
  • 面向极客，可访问自定义的内网服务（rpc）
    
• 便利性
  
  • 手机客户端一点配置
    
  • 服务能力动态增减
    
• 高性能
  
  • 0.1.1版本开始采用自主网络引擎，性能高，千元手机客户端能支持1千以上的并发共享访问
    
  • 高性能设计：
    
    • 跨平台实现 socket 多路复用，支持：poll、epoll、kqueue、port、select、IOCP 等模型
      
    • 采用 lock-free 算法
      
    • 线程池设计
      
    • socket 连接池
      
    • 多级任务队列
      
    • ...
      

附：交互示意图

smarGate有什么主要功能？

• 支持代理穿透
  
  • 官方提供免费的代理服务器（共享带宽，多人共用时比较慢，最佳实践为启用自有代理服务器）
    
  • 如果自己有云服务器（具备公网ip），用户可自定义自己的代理服务器，且在代理服务器上安装proxy_server。所有数据传输走用户配置的代理服务器（代理服务器需要证书，可自动生成也可配置已有证书）
    

  1、“代理服务器”配置如下（代理服务器必须允许任意端口“入站”连接）：

  <?xml version="1.0" encoding="GBK"?>
    <app-config code="PROXY" name="proxy-server">
        <app-parameter>
	        <proxy-service-port value="9001"/><!--自定义代理端口 -->
		<owner-id value="xxxx" /><!-- xxxx 为注册成功返回的用户ID -->
		<access-token value="nnnnn"/><!--访问token，必须为数字【可选配】 -->
		<ssl-create-certfile value="true" /><!-- 如未用如下选项指定证书，则自动生成证书【必须确保安装openssl】，默认为 false 代表无需自动生成 -->
          <!-- 如果自己有证书及私钥，则配置如下项，启动安全的SSL通道，其中文件名需要配置正确；没有证书则不需要配置，可启用上面自动生成证书选项
	        <ssl-cacert-file value="xxx.crt"/>
	        <ssl-privatekey-file value="xxx.key"/>
          -->
       </app-parameter>
       <moudle-parameter>
        <log-level value="LOG_ERROR"/>
        <log-write-mode value="CONSOLE_ONLY"/>
      </moudle-parameter>
  </app-config>

  2、"服务端"中增加如下配置：

......
    <app-parameter>
       	     <ssl-create-certfile value="true" />
       <!-- 如果代理服务器启动安全的SSL通道，这里必须配置证书及私钥
	     <ssl-cacert-file value="xxx.crt"/>
	     <ssl-privatekey-file value="xxx.key"/>
       -->
    </app-parameter>
    <moudle-parameter>
      ......
    </moudle-parameter>
    <!-- 配置上述代理服务器的ip或域名+端口，注意：ip必须为公网IP。ssl选项必须配置正确，如果代理服务器有证书（包括自动生成证书）且生效则配置为true否则为false -->
    <channel address="xxx.xxx.xxx.xxx:9001" ssl="true" token="nnnnn" /><!--访问token，必须与代理服务器一致，如果没有则不配 -->

• 支持p2p通道
  

  • 使用TCP协议进行p2p穿透，提升安全性
    
  • 不是所有的网络都支持p2p，取决于两端NAT类型
  • v0.14以上版本，直接支持ipv6，且能提供防火墙穿透
  • P2P测试结论：一端是NAT4，另一端是NAT3或NAT4时无法打通
    注：NAT1-〉Full Cone ， NAT2-〉Restricted Cone ， NAT3-〉Port Restricted Cone ， NAT4-〉Symmetric
    

  服务端 NAT	客户端 NAT	P2P成功
  NAT1-3	NAT1-3	YES
  NAT1-2	NAT4	YES
  NAT4	NAT1-2	YES
  NAT4	NAT3-4	NO
  NAT3-4	NAT4	NO

• 支持外网发布（有违安全设计理念，v0.31版本开放）
  

  • 其它内网穿透工具的主推模式，将内网服务直接映射到外网端口
    

• 支持服务端之间的P2P端口映射（v0.31及以后版本）
  

  • 具体配置主要通过 ip@index方式支持
    

1、支持基于tcp的P2P连接隧道
	。安全可靠，避免Qos
2、支持所有基于tcp的各类协议”透明代理”
	。可代理所有内网tcp服务（ssh、rdp、smb、vnc、摄像头、数据库服务等）
3、支持HTTP、HTTPS to HTTP
	。支持http-head rewrite，支持将https服务代理成http
4、支持udp over tcp
	。支持udp协议的服务代理
5、透明方式（无需关注ipv6地址）支持ipv6隧道
	。自动建立v6隧道，访问时始终使用v4地址
6、支持自定义代理（需外网ip），接管所有数据转发
	。无法p2p时，自动连接自定义代理，实现数据转发
7、自定义代理支持token及白名单配置
	。支持安全机制
8、支持多级级联代理
	。支持链式代理，支持多级无环代理
9、支持手机作为访问唯一入口 —— 安全 + 移动便捷
	。手机在手、随用随有
10、端口映射全动态配置，支持映射配置“热拔插”
	。代理增、删及时生效，无需重启
11、所有功能app端“一点配置”
	。客户端一点配置，服务端运行时免配
12、支持P2P隧道及自定义代理隧道自动探测及连接
	。无需干预，app自动连接，自动重试
13、支持动态协商端口,支持指定协商端口
	。默认动态端口协商，支持配合防火墙配置协商端口
14、支持隧道连接优先级（P2P—>自定义代理-->官网代理）
	。数据传输时，支持优先级隧道
15、支持ssl加密隧道
	。支持P2P及代理隧道ssl加密，确保数据传输不泄密
16、支持流量限制
	。支持进行网络带宽限制，默认不限流
17、支持网络切换（如：移动<—>wifi）自动识别+自动连接
	。app端智能重连，始终确保服务可用性
18、支持不同局域网主机间端口映射 —— 如有一端主机有外网ip则可直接外网访问（version > v0.31）
	。支持服务端组网映射，流量无需通过手机app（传统穿透模式）
19、app支持服务端模式，可以将手机配置成服务端
	。android手机可作为服务端
20、支持远程文件管理功能：浏览、上传、下载、删除，支持断点续传（version >= v0.31.6）
	。在有p2p或自定义代理时，激活文件管理功能，可对手机和服务端电脑文件进行基本操作
。。。待续
	

使用指南:

三方视频教学- B站

使用实践-度娘

使用实践-google

1、下载app && 注册新用户

• 下载android app（app-release.apk包含客户端和服务端）支持armv7及arm64 cpu架构
  
• 注册新用户（邀请码必填，为数字，可任意填。ps：如果必填信息未填完整,或包含中文字符，会注册失败）
  
• 注册成功后请务必记住返回的服务ID(N) 【重要】：注册成功后务必在1小时内完成首次登录
  

展开图示

2、下载服务端 && 配置

• 下载内网服务器适合的服务端版本（目前支持linux-x86-32/64，windows，及linux-arm【树莓派、群晖】,另：Android app自带服务端模式）
  
• 解压服务端压缩包，修改配置文件(conf-proxy.xml):
  

  <?xml version="1.0" encoding="GBK"?>
    <app-config code="PROXY" name="proxy-server">
       <app-parameter>
	<!-- [ none | first | only ] ,none is default. 为P2P连接启用SSL加密，only代表只接受加密连接 -->
	<ssl-tunnel-required value="first" />
	<!-- 如未用如下选项指定证书，则自动生成证书【必须确保安装openssl】，默认为 false 代表无需自动生成 -->
	<ssl-create-certfile value="true" /> 
 <!-- 以下选项仅适用dynamic下的mini版本，指定ssl库及crypto库实际文件，linux下可由：ldd $(which openssl)|grep -E "libssl|libcrypto"|awk '{print $1}' 获取
	<libssl value="libssl.so" />
	<libcrypto value="libcrypto.so" />
 -->
       </app-parameter>
       <moudle-parameter>
        <log-level value="LOG_ERROR"/>
        <log-write-mode value="CONSOLE_ONLY"/>
        <app-name value="xxxxx [name of service points]." /><!-- need modify -->
        <app-description value="yyyyy [description of service points]" /><!-- need modify -->
	<!-- user-audit need modify (N 为注册成功返回的服务ID，index为自定义的服务端实例序号，建议从1开始，不能重复. 例如:[12345:1])-->
        <user-audit value="N:index"/>
    </moudle-parameter>
  </app-config>

3、运行内网服务端(命令参数说明 i:最大接入连接数,o:最大接出连接数,w:最大线程数)

• linux下执行命令：chmod +x proxy_server && nohup ./proxy_server -i1000 -o1000 -w8 >/dev/null &
  
• windows下执行命令：proxy_server.exe -i1000 -o1000 -w8
  
• Android 手机/设备：运行app -〉编辑模式下，配置服务端信息 -〉打开“服务端”开关 -〉重启app
  
• OpenWrt mips设备安装请见：【MIPS linux下正确使用方式】
  

4、登陆手机app && 配置端口映射 【常用服务配置】

• 在客户端中可以看到上线的服务端（“访问点”），可以在客户端上定义端口映射规则
  

展开图示

配置中的“远程ip”为“访问点”对应内网中的某台主机ip（localhost或127.0.0.1代表内网server端所在机器本身）

5、电脑或手机可以直接访问手机客户端设置的服务（如ssh、http等）

补充说明:

• 所有版本已经打包了依赖，开箱即用.
  
• 系统将自动清除30天以上未使用的“僵尸账号”.
  
• Android 客户端需要权限:
  

1、后台执行权限（如果不允许，则app进入后台会断开连接）
2、网络访问权限（基本权限）

• 手机设置 (Android):
  

1、设置 -> 无线及网络 -> WLAN -> 系统休眠保持连接 "允许" （否则，系统休眠会被断连）
2、设置 -> 无线及网络 -> 移动网络 -> 高级 ->始终保持数据连接 "允许"

• Q：如何下载安装 android app？
  

  1、用android手机浏览器打开 https://github.com/lazy-luo/smarGate/raw/master/app-release.apk
  2、弹出框中下载安装
  网盘链接为最新测试版本，github上版本稍有滞后
  附网盘下载地址： https://pan.baidu.com/s/14Iq60kxHW711NVoCVKWySg
  gitee地址（速度快些，不会有图片无法显示问题）：https://gitee.com/lazy-luo/smarGate
  如有需要请添加微信：ws_lzy008 注明：smarGate ，视情况组建技术讨论群
  

• Q：需要访问家中局域网多台设备，是否每台都需要安装服务端？
  

  A：不需要，只需选择任意一台设备安装服务端即可。
  

• Q：为何有时连接不上？
  

  A：服务端空闲约2-3分钟，会自动断开，须等待10秒左右重连。
  

• Q：ipv6为何无法P2P？
  

  A：请将客户端及服务端更新到最新版本；确保手机与内网电脑能获取到全局ipv6地址；确保没被防火墙拦截（windows）；排查两个ipv6是否能路由出去；查看hosts文件确保hostname能解析到ipv6地址。
  

• Q：IPv4及IPv6的P2P连接为何没有UDP端口？
  

  A：smarGate基于TCP协议进行P2P穿透，具备更好的安全性，及连接可靠性。
  

• Q：手机NAS客户端为何无法登录？
  

  A：确保手机NAS客户端ip黑名单中没有localhost（127.0.0.1）。
  

• Q：如何将异地公司内网机器共享给多地团队？
  

  A：手机连接wifi，让团队成员电脑连接手机IP：PORT，直接通过手机代理进行访问。实测，2k以上的手机，可以带上百人团队共享访问。
  

• Q：为何windows服务端没有控制台黑框？
  

  A：为了防止误操作关闭服务端，新版本windows服务端采用后台方式运行。如需关闭，请用“任务管理器”
  

• Q：P2P时流量是否还需要走中间代理？
  

  A：不需要，直接点对点连接，网速取决于你的客户端及服务端所在网络。
  

• Q：smarGate后台运行是否很耗电？
  

  A：经过长时间测试，按偶尔使用的频次，耗电量和任意一个系统进程相近，极低；频繁后台使用情况，长时间“后台”使用，整体耗电量等同于偶尔使用微信的耗电量。电源管理提示“后台频繁刷新。。。”，不用管它，后台传输数据都会有此提示，关键看耗电排名
  

• Q：smarGate连接优先级规则？
  

  A：首选P2P连接，无P2P时使用自定义代理连接，无前两者连接时使用官方代理连接。
  

• Q: 同一个用户能否多处登录 ？
  

  A: 可以多点登录，但同一时刻只能有一个客户端可以进行P2P；服务端单台机器只能启1个实例，服务端各实例配置确保序号不重复，否则将无法正常使用。
  

• Q: 服务端能否支持Android手机 ？
  

  A：v0.27版本Android app加入了“服务端模式”的支持。
  

• Q: 客户端不同颜色表示啥意思？
  

  A:ipv4下P2P标识为：
  
  A:ipv6下P2P标识为：
  
  A:自定义路由标识为：
  
  

最佳实践

• 以下为推荐使用的最佳实践，供参考：
  1、android客户端设置为“自动登录”，免除每次输入用户名/密码的麻烦;
  2、android客户端设置好后让其在后台运行，如果始终保持前台会定时刷新，webview控件空耗电，你懂的;
  3、服务端始终保持后台运行，安全放心，只有你自己才能访问；
  ...使用场景...
  【家用摄像头P2P直连】
  

免责申明

• 请您仔细阅读以下申明，您在使用smarGate工具软件，表明您对以下内容的接受：
  1、严禁使用本软件从事计算机黑客以及其他任何危害计算机信息网络安全的行为;
  2、本软件属于正规网络接入软件，请合理，合法的使用；勿用于违反法律，道德及影响他人利益的活动；如果因用于非法用途，由此造成的不良后果，由用户自行负责，本软件开发者不承担任何责任及损失。
  

捐助

如果您觉得 smarGate 对你有帮助，欢迎给予一定的捐助来维持项目的长期发展！
ps：捐赠建议附上注册用户名

微信捐赠

附录

<auto-update value="true" />

<app-parameter>	
  <ssl-create-certfile value="true" />
...
</app-parameter>

<app-parameter>
  <ssl-tunnel-required value="first" /><!-- 取值有3个：none、first、only -->
  ...
</app-parameter>

<app-parameter>
 <proxy-service-port value="9001"/>
 <access-token value="nnnnn”"/>
 <access-restricting value="xxxxx"/>
 …
</app-parameter>

<channel address="x.x.x.x:9001" ssl="true" token="nnnnn" />

	……
	<moudle-parameter>
		<http-content-type-filter value="application/javascript" />
		……
	<moudle-parameter/>
	……

	……
	<moudle-parameter>
		<negotiation-port value="xxxxx" />
		……
	<moudle-parameter/>
	……