如果你在用 Cloudflare Zero Trust（原来的 Cloudflare Tunnel / Argo Tunnel），一定会喜欢这个——Pangolin，一个完全开源、可自托管的零信任远程访问平台。
它在 GitHub 上拥有 20,000+ Star，基于 WireGuard 协议，既能做 VPN 又能做反向代理隧道，是 Cloudflare Zero Trust 的绝佳自托管替代品。
Pangolin 是什么？
一句话：Pangolin = 自托管版 Cloudflare Zero Trust + WireGuard VPN + 反向代理隧道。
它是一个基于身份的远程访问平台，让你在不暴露公网 IP 和端口的情况下，安全地访问内网服务。
- **开源协议**：AGPL-3.0（社区版）/ Fossorial 商业许可（企业版）
- **开发语言**：TypeScript
- **GitHub**：https://github.com/fosrl/pangolin
- **官网**：https://pangolin.net
- **首次发布**：2024 年 9 月
为什么需要 Pangolin？
传统 VPN 的问题在于：一旦连接，就能访问整个内网。这不符合「零信任」原则。
Cloudflare Zero Trust 解决了这个问题，但缺点是不能自托管，你的流量必须经过 Cloudflare。
Pangolin 的定位就是：自托管的、身份感知的零信任访问平台，你的数据完全由你控制。
核心功能
🔁 反向代理隧道（类似 Cloudflare Tunnel）
- 通过**出站隧道**连接内网服务，不需要公网 IP，不需要开端口
- 自动 SSL 证书（Let's Encrypt）
- 负载均衡、健康检查
- 浏览器直接访问内网 Web 应用
🔒 WireGuard VPN
- 底层基于 WireGuard，性能和安全性都非常好
- NAT 穿透能力极强，即使在内网防火墙后面也能建立连接
- 支持 SSH、数据库、RDP 等非 HTTP 协议访问
👤 身份感知 + RBAC 权限控制
- 内置用户系统，也支持 **OIDC/SSO**（对接企业身份提供商）
- **基于角色的访问控制（RBAC）**：精确到每个资源，用户只能访问被授权的应用和服务
- 相比传统 VPN 的"连上就能访问一切"，Pangolin 是真正的零信任模型
🌐 NAT 穿透
- 站点连接器（Site Connectors）通过出站隧道穿透防火墙
- 不需要公网 IP，不需要端口映射
- 智能 NAT 穿透，支持各种复杂的网络环境
📱 全平台客户端
- Windows、Mac、Linux、iOS、Android 全覆盖
- DNS 别名，方便记忆和快速连接
部署选项
| 部署方式 | 费用 | 说明 |
|---|---|---|
| Pangolin Cloud | 免费起步 | 托管服务，无需自己维护服务器 |
| 自托管社区版 | 免费 | AGPL-3.0 开源，功能完整 |
| 自托管企业版 | 免费（个人/年收入 <$10万） | 更多高级功能 |
企业版商用需要购买 Fossorial 商业许可。
Pangolin vs Cloudflare Zero Trust
| 对比维度 | Pangolin | Cloudflare Zero Trust |
|---|---|---|
| 开源 | ✅ AGPL-3.0 | ❌ 闭源 |
| 自托管 | ✅ 完全可控 | ❌ 必须走 Cloudflare 网络 |
| 数据主权 | ✅ 数据在自己服务器 | ❌ 流量经过 Cloudflare |
| 底层协议 | WireGuard | Cloudflare 专有协议 |
| NAT 穿透 | ✅ 智能穿透 | ✅ 隧道穿透 |
| RBAC | ✅ 内置 + OIDC | ✅ 内置 |
| SSO 集成 | ✅ OIDC | ✅ SAML/OIDC |
| Web 应用暴露 | ✅ 反向代理隧道 | ✅ Tunnel |
| 非 HTTP 协议 | ✅ SSH/RDP/DB 等 | ⚠️ 有限 |
| 客户端 | ✅ 全平台 | ✅ 全平台 |
| 免费额度 | 自托管完全免费 | 50 用户内免费 |
| 学习成本 | 较低（Docker 部署） | 较低 |
适合什么场景？
| 场景 | 推荐 |
|---|---|
| 🏠 家庭内网服务（NAS、Homelab、智能家居） | 自托管社区版，Docker 一键部署 |
| 🏢 企业内部应用暴露 | 自托管企业版 + OIDC 对接 LDAP/飞书/钉钉 |
| 🔒 替代传统 VPN（更细粒度的权限） | Pangolin 的零信任模型更安全 |
| ☁️ 不想被 Cloudflare 绑定 | 数据完全自控，不依赖第三方 |
| 🆓 预算有限 | 自托管完全免费，没有 50 用户限制 |
快速体验
`bash
Docker 一键部署（自托管）
docker run -d \
--name pangolin \
-p 443:443 \
-v pangolin-data:/data \
fosrl/pangolin
`
或者直接用托管服务，注册即用：
👉 https://app.pangolin.net/
总结
Pangolin 是目前最值得关注的 Cloudflare Zero Trust 开源替代品之一。它把 WireGuard 的稳定性和零信任的细粒度权限控制结合在一起，而且支持自托管，数据完全由你掌控。
如果你已经在用 Cloudflare Tunnel，但想要更自由的部署方式；或者你在找一款能替代传统 VPN 的零信任方案，Pangolin 值得一试。
相关链接：
- [官网](https://pangolin.net/)
- [GitHub](https://github.com/fosrl/pangolin)
- [文档](https://docs.pangolin.net/)
- [Docker Hub](https://hub.docker.com/r/fosrl/pangolin)