不少家庭部署NAS、监控摄像头、树莓派，或是自建小型网站，希望在外网访问。实际操作时经常遇到障碍，问题基本集中两处：家庭宽带分配的公网IP会变动，今天能访问，隔天地址就失效；还有部分宽带根本没有公网IP，运营商分配大内网地址，外网无法直接建立连接。DDNS和内网穿透分别解决这两类难题，二者实现思路、适用场景差别很大。
DDNS全称动态DNS，使用前提是拥有公网IP，只是IP地址不固定。光猫重启、运营商线路调整，家宽公网IP就会变更。DDNS的工作逻辑很简单，在路由器或者NAS运行轻量程序，每隔一段时间读取当前公网IP，一旦检测地址发生变化，自动向DNS服务商更新域名解析记录。只需要记住固定域名，例如myhome.example.com，无论IP怎么更换，域名始终指向家庭网络当前地址。
启用DDNS有硬性前提，必须拿到公网IP。国内电信、联通部分地区家宽可以申请，拨打客服说明用途为监控或者远程办公，有机会开通。移动家宽大部分区域无法获取公网IP，申请也很难成功。拿到公网IP之后，还需要在路由器配置端口转发，把外部访问指定端口的流量转发到内网设备对应端口。外部访问myhome.example.com:5000，路由器将流量转发至NAS的5000端口，在外网就能打开NAS管理页面。
DDNS适用场景清晰：拥有公网IP，需要外网访问内网自建服务，使用主体多为个人，不需要对外公开给大量陌生人。远程桌面、NAS文件管理、监控摄像头、自建博客、游戏服务器，都适合这套方案。延迟低，带宽上限由家庭宽带上行带宽决定，数据传输不经过第三方中转服务器，直达设备。成本也偏低，很多DDNS服务提供免费版本，花生壳、No-IP、DynDNS都有免费套餐，Cloudflare也支持自行编写脚本调用API更新解析。华硕、群晖、威联通这类路由器、NAS设备内置DDNS客户端，填写账号即可启用。
DDNS最大隐患来自安全。端口直接暴露在公网，会被全网扫描探测。弱密码、未修复漏洞、默认端口，都会成为攻击入口。基础安全措施不能省略：修改默认端口、开启两步验证、部署HTTPS，路由器防火墙只放行必要端口。如果仅个人使用，VPN接入家庭网络会更安全，不用直接暴露内网服务。但VPN配置门槛偏高，DDNS搭配端口转发依旧是很多人的实际选择。
内网穿透解决的是无公网IP场景。运营商分配100.64.x.x这类大内网地址，或是使用小区宽带、校园网、公司内网，外部网络无法直接连接内网设备。内网穿透思路是借助一台拥有公网IP的中转服务器，内网设备主动和中转服务器建立长连接，外部访问请求先抵达中转服务器，中转服务器再通过已建立的隧道转发流量到内网设备。
frp是最常用自建方案。租用云服务器，在服务器部署frps作为服务端，内网设备运行frpc客户端。客户端主动连接服务端，生成数据隧道。外部访问云服务器指定端口，流量沿着隧道传输到内网设备。ngrok原理相近，不过它属于托管服务，不用自行购买服务器，注册账号获取临时域名就能使用，适合临时演示、开发调试。Cloudflare Tunnel是另一种方案，在内网设备安装cloudflared客户端，客户端主动连接Cloudflare边缘节点，Cloudflare分配域名或者绑定自有域名，外部流量经由Cloudflare网络转发至内网设备。
内网穿透适配场景比DDNS更广。没有公网IP的用户、不想暴露家庭公网IP的用户、需要临时对外分享服务的用户，都可以使用。开发联调阶段，本地服务接收微信回调、支付通知、GitHub Webhook，需要外网可访问地址，内网穿透是最快方案。没有公网IP时，依靠frp或者Tailscale可以在外网访问家里NAS。给其他人演示本地项目，ngrok生成临时链接，对方直接打开就能查看。
内网穿透的短板是延迟与带宽。流量经过中转服务器来回转发，中转服务器位置和带宽决定访问体验。免费中转服务大多限速，延迟偏高。自建frp需要租用云服务器，带宽上限取决于服务器配置，国内低带宽云服务器传输大文件体验很差。Tailscale、ZeroTier这类组网工具逻辑不一样，优先尝试P2P打洞，网络条件允许时设备之间直接建立加密连接，不走中转服务器，速度接近直连。打洞失败才启用中转链路。远程访问NAS、远程桌面这类场景体验不错，配置比frp简单，安装客户端登录账号即可。
选型第一步确认家庭宽带是否拥有公网IP。有公网IP，DDNS搭配端口转发是最优方案，延迟低、带宽充足、成本低廉，适合长期个人使用。没有公网IP，只能选择内网穿透。仅个人使用，Tailscale或者ZeroTier上手更简单，不用购买服务器，不用配置端口转发，安装登录即可。需要对外提供访问，或是需要稳定固定外网入口，frp搭配云服务器加域名可控性更强。临时演示、开发调试，ngrok上手最快。已经持有Cloudflare账号与域名，可以尝试Cloudflare Tunnel，不需要公网IP，不用开放端口，配置难度适中。
两种技术不存在互相替代关系。拥有公网IP的用户，也会用内网穿透规避直接暴露家庭网络的风险。没有公网IP的环境，DDNS完全无法运行。先确认自身网络环境再挑选工具，比盲目折腾节省大量时间。