rathole：用 Rust 编写的轻量高性能 NAT 穿透反向代理（frp / ngrok 替代方案）

rathole 是一个用 Rust 编写的、面向 NAT 穿透的安全稳定高性能反向代理。与 frp、ngrok 类似，它可以借助一台具有公网 IP 的服务器，把位于 NAT 之后设备上的服务暴露到互联网。

【项目定位】 项目页给出的简述为：A secure, stable and high-performance reverse proxy for NAT traversal, written in Rust；可将 NAT 后设备上的服务通过公网 IP 服务器暴露到互联网。配图 1 为项目 logo。

【核心特性】

1. 高性能：相比 frp 可实现更高的吞吐量，在处理大量连接时更稳定，详见 Benchmark。

1. 低资源占用：内存消耗远低于同类工具；二进制体积可小至约 500KiB，以适应路由器等嵌入式设备的限制。

1. 安全：服务 Token 为强制且按服务（service-wise）配置；服务端与客户端各自负责自己的配置；可选启用 Noise Protocol，便于完成加密配置，无需创建自签名证书；同时支持 TLS。

1. 热重载：可通过热重载配置文件动态添加或移除服务。HTTP API 仍在开发中（WIP）。

【性能基准】 项目页说明 rathole 的延迟与 frp 相近，但能处理更多连接、提供更大带宽，并且内存占用更少，详见单独的 Benchmark 页面；相关图示见配图 2（http_throughput）、配图 3（tcp_bitrate）、配图 4（udp_bitrate）、配图 5（mem-graph）。 页面同时提示：不要据此认为 rathole 能把被转发的服务神奇地提速数倍。

该基准测试在本地回环（local loopback）上进行，反映的是 CPU 受限时的性能表现；在网络不是瓶颈时可以获得相当程度的提升，但对很多用户而言网络本身就是瓶颈，此时主要收益是更低的资源消耗，带宽与延迟未必有显著改善。

【配置说明】 如果配置文件中只存在 [server] 和 [client] 之一，rathole 会根据配置内容自动判断运行在服务端模式还是客户端模式（如 Quickstart 示例）。两者也可以放在同一个文件里，此时需在服务端运行 rathole --server config.toml，在客户端运行 rathole --client config.toml 显式指定运行模式。 页面建议在阅读完整配置规范前，先浏览配置示例以熟悉配置格式；加密与 transport 块的更多细节见 Transport 文档。

完整配置规范（节选要点）：

• [client]：remote_addr 为必填，指服务器地址；default_token 可选，作为服务未单独定义 Token 时的默认值；heartbeat_timeout 可选，设为 0 可禁用应用层心跳测试，该值必须大于 server.heartbeat_interval，默认 40 秒；retry_interval 可选，为重连服务器的间隔，默认 1 秒。
• [client.transport]：整块可选，type 可选值为 ["tcp", "tls", "noise"]，默认 "tcp"。
• [client.transport.tcp]：同样影响 noise 与 tls；proxy 可选，支持 http 与 socks5（示例为 socks5://user:[email protected]:1080）；nodelay 可选，默认 true，启用 TCP_NODELAY 可改善延迟但降低带宽；keepalive_secs 默认 20 秒；keepalive_interval 默认 8 秒。
• [client.transport.tls]：当 type 为 "tls" 时必填；trusted_root 必填，为签发服务器证书的 CA 证书；hostname 可选，用于校验证书，未设置时回退到 client.remote_addr。
• [client.transport.noise]：pattern 可选，默认 Noise_NK_25519_ChaChaPoly_BLAKE2s；local_private_key、remote_public_key 可选（base64 编码）。
• [client.transport.websocket]：当 type 为 "websocket" 时必填；tls 为 true 时使用 client.transport.tls 中的设置。
• [client.services.service1]：服务名可任意，但必须与服务端配置中的名称一致；type 可选，可选值为 ["tcp", "udp"]，默认 "tcp"；token 在未设置 client.default_token 时必填；local_addr 必填，为需要转发的服务地址；nodelay 可选，可覆盖 client.transport.nodelay；retry_interval 可选，默认继承全局配置。可定义多个服务（如 [client.services.service2]）。
• [server]：bind_addr 必填，为服务器监听客户端的地址，通常只需修改端口；default_token 可选；heartbeat_interval 可选，默认 30 秒，设为 0 可禁用心跳发送。
• [server.transport] 与 [client.transport] 相同；[server.transport.tls] 在 type 为 "tls" 时必填，需要 pkcs12（服务器证书与私钥的 pkcs12 文件）与 pkcs12_password（pkcs12 文件密码）。
• [server.services.service1]：服务名必须与客户端一致；type 可选，同客户端；token 在未设置 server.default_token 时必填；bind_addr 必填，为服务对外暴露的地址，通常只需修改端口；nodelay 可选。

【日志】 与许多 Rust 程序一样，rathole 通过环境变量控制日志级别，可选 info、warn、error、debug、trace。例如 RUST_LOG=error ./rathole config.toml 表示仅输出 error 级别日志；如果未设置 RUST_LOG，默认日志级别为 info。

【调优】 从 v0.4.7 起，rathole 默认启用 TCP_NODELAY，这有利于延迟敏感与交互式应用（如 rdp、Minecraft 服务器），但会略微降低带宽。如果带宽更重要，可用 nodelay = false 关闭该选项。

【后续规划】

项目页另有 Out of Scope 列表，说明不计划实现哪些特性及其原因。

• 用于配置的 HTTP API。

— 本文由 AI 根据公开来源辅助整理，命令、版本与许可证请在使用前到原始页面复核。