没有公网 IP 怎么在外面看家里的 Emby？一个项目帮你安全穿透内网：Pangolin

Pangolin 是一个开源、可自托管的“隧道式反向代理”，可以理解为能装在自己 VPS 上的 Cloudflare Tunnel。它由三部分组成：VPS 上跑的 Pangolin 面板 + Gerbil（WireGuard 隧道）+ Traefik（反代和证书），家里 NAS 上跑一个站点连接器（Newt / Pangolin CLI）。NAS 主动把隧道连到 VPS，所以家里不需要公网 IP，也不用在路由器上开任何端口。

整个部署分两头：VPS 上装 Pangolin 服务端，NAS 上装站点连接器。

一、VPS：部署 Pangolin 服务端

先在域名商那里加两条解析：pangolin.example.com 和 *.example.com 都指向 VPS 的公网 IP。然后在 VPS 上建目录：

新建 docker-compose.yml：

再新建 config/config.yml，把域名换成你自己的，secret 用 openssl rand -hex 32 生成：

启动并查看首次登录用的令牌：

二、初始化面板

浏览器打开 https://pangolin.example.com/auth/initial-setup，填入刚才日志里的令牌，创建管理员账号：

▲ 填入设置令牌，创建管理员账号

登录后会让你先建一个“组织”，名字随便起，ID 用英文：

▲ 新建组织

三、NAS：添加站点并运行连接器

接下来创建站点，类型选“新节点（推荐）”，名字写 NAS-Home：

▲ 创建站点，类型选新节点

往下拉会看到这个站点的身份 ID 和密钥，操作系统选 Docker、方法选 Docker Compose，面板会直接生成好配置：

▲ 面板自动生成 Docker Compose 配置

在 NAS（飞牛、群晖都行）上新建一个 docker-compose.yml，把面板给的内容粘进去：

docker compose up -d 跑起来后，日志里出现 Tunnel connection to server established successfully! 就说明隧道通了，回到面板，站点状态会变成“在线”：

▲ 站点在线，代理显示 Pangolin CLI

把 Emby / Jellyfin 发布出去

进入“公共资源 → 添加资源”，类型 HTTP(S)，子域名写 jellyfin，目标选刚才的站点 NAS-Home，地址填 Jellyfin 在内网的 IP 和端口 8096（Emby 一样是 8096）：

▲ 创建公共资源，目标指向 NAS 上的 8096

创建好后，资源列表里会显示访问地址，认证状态是“受到保护”：

▲ 资源列表

访问之前先登录

资源默认开启“平台单点登录 SSO”，也就是说，别人打开 jellyfin.example.com 时，看到的不是 Emby，而是 Pangolin 的登录页。你也可以改成 PIN 码、共享密码或者邮箱白名单：

▲ 认证设置：SSO、PIN 码、密码、邮箱白名单

外面的人打开链接，会先看到这个页面：

▲ 访问 jellyfin.example.com 先要登录

登录后才会进入 Jellyfin，后面就是熟悉的媒体库了：

▲ 通过隧道打开的 Jellyfin

家里网络直接放行

每次在家看片还要登录一次有点烦，可以在“访问规则”里加一条：IP 范围 192.168.1.0/24 旁路认证。规则从上往下匹配，家里网段直接进，外面的 IP 照样要先登录：

▲ 访问规则：家里网段旁路认证

家人怎么用

把家人拉进组织之后，他们登录面板首页会看到“资源启动器”，所有你开放给他们的服务都在这里，点一下就能打开：

▲ 资源启动器

Pangolin 适合“家里没有公网 IP，但手上有一台 VPS”的玩家：比 frp 多了图形界面、自动证书和登录保护，比 Cloudflare Tunnel 多了一份数据自主。缺点也要说清楚：VPS 的带宽决定了你在外面看片的画质，小水管的机器看 4K 原盘会比较吃力；另外 App 和网页 SSO 的兼容需要自己按上面的方法调一下。