发帖
雷达卡
技术人如何用开源+自建方案替代付费订阅服务
一、背景与动机
1.1 问题发现
作为一名技术工作者，在整理年度账单的过程中，我发现各种IT订阅服务的年度总花费已超过3000元：
订阅服务清单（2023年实际支出）：
- 远程访问服务（蒲公英/花生壳）：?180-240
- 远程桌面软件（ToDesk Pro）：?180
- 云存储服务（企业网盘）：?600
- 代码托管服务（GitHub Pro）：?300
- 域名+DDNS服务：?60-100
- 其他零散订阅：?500+
────────────────────────────
总计：约 ?3,000/年这一发现促使我思考：这些服务是否真的不可或缺？是否存在更经济的技术替代方案？
1.2 优化目标
- 降低IT服务的年度开支
- 保持或提升用户体验
- 加强数据的安全性和隐私保护
- 减少对外部服务的依赖
- 积累相关技术知识和经验
1.3 约束条件
- 确保不影响日常工作的效率
- 数据安全是首要考虑因素
- 学习成本需要合理控制
- 避免大量硬件投入
二、方案调研与技术选型
2.1 远程访问场景分析
核心需求包括外网访问家庭NAS（例如群晖）、远程连接工作室开发机以及移动办公时访问内网资源。
传统付费方案对比
| 方案 | 年费 | 优点 | 缺点 |
|---|---|---|---|
| 蒲公英硬件+会员 | ?200-400 | 简单易用 | 硬件成本+月费，带宽有限制 |
| 花生壳专业版 | ?240 | 稳定可靠 | 价格偏高，流量受限 |
| ToDesk专业版 | ?180 | 体验良好 | 仅限远程桌面，功能较为单一 |
| 云服务器中转 | ?600+ | 全面控制 | 成本高昂，配置复杂 |
开源/免费方案调研
| 方案 | 技术栈 | 成本 | 复杂度 | 适用性 |
|---|---|---|---|---|
| WireGuard自建 | VPN | ?0 | 高 | 需要公网IP和技术能力 |
| Tailscale | SD-WAN | ?0(3设备) | 中 | 免费版设备数量有限制 |
| ZeroTier | SD-WAN | ?0(25设备) | 中 | 配置相对复杂 |
| 星空组网 | SD-WAN | ?0(20设备) | 低 | 国内优化较好 |
| Cloudflare Tunnel | 隧道 | ?0 | 中 | 仅适用于HTTP/S服务 |
决策矩阵分析
通过综合评估成本、易用性、性能、可靠性和功能完整性等因素，最终选择了星空组网（SD-WAN）方案，理由如下：
- 零成本（免费额度足够）
- 配置简便（学习成本低）
- 性能优越（P2P直连）
- 适应多种应用场景
2.2 其他服务的替代方案
除了远程访问，对于文件同步/共享、密码管理、代码托管和笔记同步等服务，也探讨了相应的开源或自建解决方案：
文件同步/共享：
付费方案：Dropbox、坚果云 (?600/年)
替代方案：Nextcloud (开源) + 异地组网
节省：?600/年密码管理：
付费方案：1Password (?300/年)
替代方案：Bitwarden (开源) + 自建
节省：?300/年代码托管：
付费方案：GitHub Pro (?300/年)
替代方案：GitLab CE (开源) + 自建
节省：?300/年（私有仓库需求）笔记同步：
付费方案：Notion、印象笔记 (?200/年)
替代方案：Joplin (开源) + Nextcloud同步
节省：?200/年三、实施方案与部署
3.1 基础架构设计
┌─────────────────────────────────────────────────────┐
│ 虚拟局域网层 │
│ (SD-WAN / 异地组网) │
│ │
│ ┌──────┐ ┌──────┐ ┌──────┐ ┌──────┐ │
│ │ NAS │ │ 开发机│ │笔记本 │ │手机 │ │
│ │.188.1│ │.188.2│ │.188.3│ │.188.4│ │
│ └──────┘ └──────┘ └──────┘ └──────┘ │
└─────────────────────────────────────────────────────┘
│ │ │ │
└─────────┴─────────┴─────────┘
│
┌───────────┴───────────┐
│ 应用服务层 │
├───────────────────────┤
│ - Nextcloud (文件) │
│ - GitLab (代码) │
│ - Bitwarden (密码) │
│ - Joplin (笔记) │
│ - Jellyfin (媒体) │
└───────────────────────┘3.2 核心服务部署
3.2.1 异地组网层
以下是使用Docker在NAS侧部署网络客户端的示例步骤：
- 创建配置目录：
mkdir -p /volume1/docker/networking - 部署网络客户端：
docker run -d --name network-client --privileged --net=host --restart=always -v /volume1/docker/networking:/config <registry>/network-client:latest - 通过Web管理界面进行配置：
访问http://nas-ip:7725并使用子账号登录以获取虚拟IP。
在Linux服务器上的部署步骤如下：
- 下载并解压客户端：
wget <download-url>/client-linux-amd64.tar.gz
tar xzf client-linux-amd64.tar.gz - 安装客户端：
sudo ./install.sh - 配置systemd自启动：
sudo systemctl enable network-client
sudo systemctl start network-client - 查看状态：
network-cli status
输出示例：
Virtual IP: 192.168.188.2
Status: Connected (P2P)
Latency: 18ms
3.2.2 Nextcloud文件服务
以下是docker-compose.yml的配置示例：
version: '3'服务配置
Nextcloud 文件同步与分享
使用 Docker 部署 Nextcloud 服务，确保数据安全和高效共享。
services:
nextcloud:
image: nextcloud:latest
container_name: nextcloud
restart: always
ports:
- "8080:80"
volumes:
- "/volume1/nextcloud/data:/var/www/html"
- "/volume1/data:/data"
environment:
- MYSQL_HOST=db
- MYSQL_DATABASE=nextcloud
- MYSQL_USER=nextcloud
- MYSQL_PASSWORD=your_password
db:
image: mariadb:10.5
container_name: nextcloud-db
restart: always
volumes:
- "/volume1/nextcloud/db:/var/lib/mysql"
environment:
- MYSQL_ROOT_PASSWORD=root_password
- MYSQL_DATABASE=nextcloud
- MYSQL_USER=nextcloud
- MYSQL_PASSWORD=your_password
访问方式：
- 通过虚拟 IP 访问（异地组网后）：http://192.168.188.1:8080
- 不需要额外配置：
- 公网 IP
- 域名解析
- 端口转发
- 内网穿透
GitLab 代码托管
部署 GitLab CE 到 Docker 中，提供代码管理和协作功能。
docker run -d \ --hostname gitlab.local \ --name gitlab \ --restart always \ -p 8081:80 \ -p 2222:22 \ -v /volume1/gitlab/config:/etc/gitlab \ -v /volume1/gitlab/logs:/var/log/gitlab \ -v /volume1/gitlab/data:/var/opt/gitlab \ gitlab/gitlab-ce:latest
Git clone：git clone http://192.168.188.1:8081/repo.git
Bitwarden 密码管理
使用 vaultwarden（Bitwarden 的轻量级实现），增强密码安全性。
docker run -d \ --name vaultwarden \ --restart always \ -v /volume1/vaultwarden:/data \ -p 8082:80 \ vaultwarden/server:latest
移动端配置服务器地址为虚拟 IP。
客户端配置
桌面端（以远程桌面为例）
- Windows - 远程桌面连接：mstsc /v:192.168.188.2
- Mac - Microsoft Remote Desktop：open rdp://192.168.188.2
- Linux - rdesktop：rdesktop 192.168.188.2:3389
移动端
1. 手机安装网络客户端App
2. 登录子账号，获取虚拟IP (192.168.188.4)
3. 使用各服务的移动App：
- Nextcloud App → 服务器地址：192.168.188.1:8080
- Bitwarden App → 服务器地址：192.168.188.1:8082
- RD Client → 连接：192.168.188.2网络优化
NAT 类型优化（提高 P2P 成功率）
- 检查当前 NAT 类型：
network-cli nat-detect- 示例输出：NAT Type: Restricted Cone (NAT2)
- 光猫桥接配置（推荐）：
- 登录光猫管理页面：http://192.168.1.1
- 网络设置 → 连接模式：桥接
- 在路由器中配置 PPPoE 拨号
- 路由器 UPnP 配置（OpenWrt 示例）：
uci set upnpd.config.enabled='1'uci set upnpd.config.enable_upnp='1'uci commit upnpd/etc/init.d/miniupnpd restart
防火墙规则（以 iptables 为例）
# 允许虚拟网卡流量 iptables -I INPUT -i tun0 -j ACCEPT iptables -I FORWARD -i tun0 -j ACCEPT # 保存规则 iptables-save > /etc/iptables/rules.v4
效果评估
性能测试
延迟测试
# P2P 直连模式 $ ping -c 100 192.168.188.2 100 packets transmitted, 100 received, 0% packet loss rtt min/avg/max/mdev = 17.2/18.5/24.3/1.8 ms
结论：延迟接近真实网络延迟
带宽测试
# 使用 iperf3 测试
技术优化与成本节约报告
性能测试
iperf3 -c 192.168.188.2 -t 60
- P2P模式：
[ 5] 0.00-60.00 秒 350 MB 48.9 Mbps
# 接近家庭宽带上传上限（50Mbps） - 中转模式（P2P失败时）：
[ 5] 0.00-60.00 秒 75 MB 10.5 Mbps
# 受限于免费额度，但日常使用足够
实际应用测试
| 场景 | P2P延迟 | 中转延迟 | 体验评价 |
|---|---|---|---|
| 远程桌面(RDP) | 20ms | 50ms | 流畅/可用 |
| 文件传输(SMB) | 48Mbps | 10Mbps | 快/慢但够用 |
| Git操作 | 瞬间 | 1-2秒 | 体验好 |
| 网页访问 | <50ms | 100ms | 流畅/略慢 |
4.2 稳定性测试
长期运行统计（6个月数据）：
- 在线率：99.2%
- P2P成功率：78%（与网络环境相关）
- 重连次数：平均每月2-3次
- 平均重连时间：5-10秒4.3 成本对比
优化前（2023年）
| 项目 | 年费 |
|---|---|
| 远程访问服务 | ?240 |
| 远程桌面软件 | ?180 |
| 云存储服务 | ?600 |
| 代码托管 | ?300 |
| 域名+DDNS | ?100 |
| 其他订阅 | ?500 |
| 总计 | ?1,920 |
优化后（2024年）
| 项目 | 成本 | 说明 |
|---|---|---|
| 异地组网 | ?0 | 免费版支持20设备 |
| 自建服务 | ?0 | 开源方案 |
| 电费 | ~?100 | NAS 24小时运行 |
| 总计 | ?100 |
ROI分析：
年度节省：?1,920 - ?100 = ?1,820
两年节省：?3,640
投入时间：约20小时（学习+部署+优化）
时薪价值：?91/小时如果算上其他原本想购买但因免费方案而未购买的服务，实际每年可节省接近?3,000。
五、风险与应对
5.1 潜在风险
- 服务商跑路风险
风险：免费服务可能停止运营
应对：数据保存在本地，可切换至其他方案（如Tailscale/ZeroTier） - 数据安全风险
风险：自建服务需自行确保安全
应对：- 定期备份（遵循3-2-1原则）
- 及时更新系统和应用
- 配置防火墙规则
- 使用强密码及两步验证（2FA）
- 技术依赖风险
风险：需要一定的技术能力进行维护
应对：- 文档化所有配置
- 定期测试恢复流程
- 保留付费方案作为备用
- 网络环境依赖
风险：P2P成功率受NAT类型影响
应对：- 优化网络配置（如桥接、UPnP）
- 接受中转模式作为备选方案
- 重要场景保留备用方案
5.2 监控与维护
日常监控脚本：
#!/bin/bash
# monitor.sh - 服务健康检查
services=("nextcloud:8080" "gitlab:8081" "bitwarden:8082")
alert_email="your@email.com"
for service in "${services[@]}"; do
name="${service%%:*}"
port="${service##*:}"
if ! curl -s "http://192.168.188.1:$port" > /dev/null; then
echo "Service $name is down!" | mail -s "Alert" $alert_email
docker restart $name
fi
done
定期维护清单：
□ 每周：检查服务状态、查看日志
□ 每月：更新Docker镜像、备份配置
□ 每季度：审计账号权限、测试恢复
□ 每年：评估方案是否还合适、优化配置六、经验总结
6.1 关键收获
技术层面：
- 掌握了Docker容器化部署
- 理解了SD-WAN/P2P技术原理
- 实践了开源软件在生产环境中的应用
- 提升了网络配置和问题排查的能力
成本层面：
- 年度IT支出从?1,920降至?100
- 节省的资金可用于硬件升级或其他投资
- 避免了订阅陷阱（如价格上调、功能减少）
数据安全层面：
- 数据完全掌控在自己手中
- 不依赖第三方服务商的稳定性和政策
- 隐私保护更好（数据不上传到公有云）
6.2 适用场景
推荐使用此方案的情况：
- 有一定技术基础的开发者/运维人员
- 追求成本优化的个人/小团队
- 重视数据隐私和自主控制
- 拥有NAS或服务器等硬件基础
- 喜欢探索和学习新技术的过程
不推荐使用的情况：
- 完全没有技术基础的用户
- 时间比金钱更重要的高收入人群
- 对稳定性要求极高的商业场景
- 没有时间和精力进行维护的情况
6.3 可选的其他方案
如果你更倾向于完全开源的解决方案：
推荐方案A：Tailscale (部分开源)
- 优点：技术先进、文档完善、社区活跃
- 缺点：免费版仅3设备
- 适合：设备少、追求技术前沿
推荐方案B：ZeroTier (完全开源)
- 优点：可自建Planet、完全掌控
- 缺点：配置复杂、学习曲线陡
- 适合：极客玩家、自建需求强
推荐方案C：Nebula (Slack开源)
- 优点：高性能、企业级
- 缺点：文档少、生态不完善
- 适合：大规模部署、高性能需求七、参考资料
7.1 技术文档
- Docker官方文档：https://docs.docker.com/
- Nextcloud文档：https://docs.nextcloud.com/
- GitLab CE文档：https://docs.gitlab.com/ce/
- WireGuard原理：https://www.wireguard.com/papers/wireguard.pdf
7.2 开源项目
- Nextcloud：https://github.com/nextcloud/server
- GitLab CE：https://gitlab.com/gitlab-org/gitlab-foss
- Bitwarden：https://github.com/bitwarden
- Vaultwarden：https://github.com/dani-garcia/vaultwarden
7.3 相关文章
- 《3-2-1备份原则详解》
- 《Docker容器安全最佳实践》
- 《NAT穿透技术原理与实现》
自建服务的成本收益分析
八、总结
经过一年的实际操作，我们验证了一个重要的结论：通过精心选择技术和利用开源解决方案，可以在不影响用户体验的情况下，显著减少IT服务的开支。
核心要点：
- 理性消费：许多收费的服务其实有免费或开源的替代品。
- 技术投入：投入时间和精力学习新技术，从长远来看比持续支付费用更加经济。
- 数据主权：掌握自己的数据比依赖第三方服务更为安全可靠。
- 适度探索：找到成本与便捷性之间的最佳平衡点。
最关键的一点是，这不仅仅是为了节省开支，更是为了提升个人的技术能力和对IT基础设施的深入了解。
本文内容基于作者的个人实践编写，提供的方案仅供参考。在实际部署时，请根据自身情况进行适当调整。
欢迎各位技术爱好者交流讨论，如果有任何疑问或建议，欢迎在评论区留言。
本篇文章为原创内容，转载时请注明出处。
京公网安备 11010802022788号
