用 Docker 运行网云穿客户端（NAS、Linux 服务器）

适用场景

• 群晖、威联通、Unraid 等支持 Docker 的 NAS，或已经在用 Docker 的 Linux 服务器。
• 一个容器运行一条隧道；要跑多条隧道，就开多个容器。

注意： 网云穿目前没有发布官方 Docker 镜像。本教程使用“官方 Linux 客户端 + 通用 alpine 镜像”的方式，不需要任何第三方镜像。网上搜到的同名镜像都不是官方的，请不要使用。

如果你的 Linux 支持 systemd（多数服务器都支持），更推荐按 Linux 客户端教程 安装：一个服务就能跑多条隧道，还能在官网“设备”页远程管理。Windows 电脑请直接用 图形客户端，不建议用 Docker Desktop。

前置条件

• 已在控制台创建好隧道，并填好“内网地址”和“端口”。还没有隧道请先看 第一次使用。
• 已复制这条隧道的客户端令牌：控制台左侧点“隧道”，在这条隧道右侧点“连接凭证”，在弹出的“客户端令牌”窗口复制。
• 能用 SSH 登录 NAS 或服务器，并且有 root 或 sudo 权限。
• 已安装 Docker：执行 docker version，能看到版本号即可。

操作步骤

第 1 步：查看设备的 CPU 架构

SSH 登录后执行：

uname -m

记下输出，下一步按它选择下载地址：

第 2 步：下载官方 Linux 客户端

依次执行下面的命令（示例是 x86_64，其他架构把地址里的 linux-x86_64-tar-gz 换成上表对应的那一项）：

sudo mkdir -p /opt/wyc-client/
cd /opt/wyc-client/
sudo wget -O wyc-client.tar.gz "https://update.too1.net/d/wyc/stable/linux-service/linux-x86_64-tar-gz?source=wyc_official"
sudo tar -xzf wyc-client.tar.gz
sudo chmod +x ./wyc-client
./wyc-client version

成功后会看到一行类似 wyc-client 8.0.11 commit=… 的版本信息。

• 提示 wget: command not found：把第三行换成 sudo curl -L -o wyc-client.tar.gz "上面的地址"。
• 想核对文件是否完整：执行 sha256sum wyc-client.tar.gz，结果应与 下载页 该文件的 SHA256 完全一致。

第 3 步：确认“内网地址”填对了

本教程的容器使用 --network host（主机网络），容器里的 127.0.0.1 就是这台 NAS 本身。按下表核对控制台里这条隧道的“内网地址”和“端口”：

先在 NAS 上测一下服务能不能访问（地址和端口换成你的）：

curl -I http://127.0.0.1:5000

成功后会看到 HTTP/1.1 200、302 之类的响应头。如果显示 Connection refused，说明服务没启动或端口不对，先解决这个再继续。TCP 类服务（如 SSH）可以跳过这一步，直接在第 5 步验证。

第 4 步：启动容器

把下面命令里的 把这里换成你的客户端令牌 换成第“前置条件”里复制的令牌（保留两边的单引号），然后整段复制执行：

sudo docker run -d \
  --name wyc-tunnel \
  --restart unless-stopped \
  --network host \
  -e WYC_TUNNEL_TOKEN='把这里换成你的客户端令牌' \
  -e WYC_CLIENT_INSTANCE_ID=docker-wyc-tunnel \
  -v /opt/wyc-client/wyc-client:/usr/local/bin/wyc-client:ro \
  alpine:3.20 \
  /usr/local/bin/wyc-client run

每一行的作用：

第 5 步：查看日志，确认连上了

sudo docker logs -f wyc-tunnel

成功后会看到类似下面的内容：

10:30:12  隧道已连接：办公网站
           访问地址：https://xxxx.example.com
           内网地址：127.0.0.1:5000

按 Ctrl+C 退出日志查看，容器会继续运行。然后用手机关掉 Wi-Fi、用流量打开日志里的“访问地址”；TCP 隧道用对应软件（如 SSH 客户端）连接控制台显示的公网地址和端口。

日常管理

更换令牌（例如在控制台点了“更换令牌”）：先 sudo docker rm -f wyc-tunnel，再用新令牌重新执行第 4 步。

更新客户端：重新执行第 2 步下载新版，然后 sudo docker rm -f wyc-tunnel，再执行第 4 步。

再加一条隧道：重新执行第 4 步，把 --name 和 WYC_CLIENT_INSTANCE_ID 都换成新的名字（例如 wyc-ssh、docker-wyc-ssh），令牌换成另一条隧道的。

喜欢用 docker compose

在 /opt/wyc-client/ 下新建 docker-compose.yml，内容如下（令牌同样要替换）：

services:
  wyc-tunnel:
    image: alpine:3.20
    container_name: wyc-tunnel
    restart: unless-stopped
    network_mode: host
    environment:
      WYC_TUNNEL_TOKEN: "把这里换成你的客户端令牌"
      WYC_CLIENT_INSTANCE_ID: docker-wyc-tunnel
    volumes:
      - /opt/wyc-client/wyc-client:/usr/local/bin/wyc-client:ro
    command: ["/usr/local/bin/wyc-client", "run"]

在同一目录执行 sudo docker compose up -d 启动，sudo docker compose logs -f 看日志。

用 NAS 的 Docker 图形界面

如果不方便用命令，可以在 NAS 自带的 Docker／容器管理界面新建容器，对应填写：镜像 alpine:3.20；网络选“host／主机”；环境变量 WYC_TUNNEL_TOKEN 和 WYC_CLIENT_INSTANCE_ID；把 NAS 上的 /opt/wyc-client/wyc-client 文件映射到容器的 /usr/local/bin/wyc-client（只读）；启动命令 /usr/local/bin/wyc-client run；勾选自动重启。第 2 步的下载仍需在 SSH 里完成。

成功检查

• sudo docker ps --filter name=wyc-tunnel 能看到状态是 Up。
• 日志里出现“隧道已连接”，访问地址与控制台一致。
• 手机流量能打开网站，或能用对应软件连上 TCP 服务。
• 重启一次 NAS，开机后不用手动操作，容器自动运行、日志再次显示“隧道已连接”。

常见错误

令牌相当于这条隧道的钥匙，执行过的命令和 docker inspect 都能看到它。不要把命令截图发到群里；怀疑泄露时在控制台“连接凭证”里点“更换令牌”，再按上面的方法重建容器。

相关教程

第一次使用 · Linux 客户端（systemd） · 协议怎么选 · 访问故障排查