fosrl/pangolin

项目介绍

Pangolin 是一个基于 WireGuard 的开源 SASE 平台，把通常分开采购的几项能力合成一套系统：零信任 VPN、身份感知反向代理、面向 SSH 的特权访问管理（PAM），以及可代理云端和自托管模型接口的 AI 网关。它们共用同一套身份和策略模型，因此用户通过站点连接器、浏览器或桌面客户端访问资源时，角色和授权保持一致。

主要用途是在没有公网 IP、不开放入站端口的情况下，把内网 Web 应用、远程桌面（VNC/RDP）、SSH 主机和 CIDR 网段暴露给授权用户；同时给 OpenAI、Anthropic、Ollama、vLLM 等模型接口加上 SSO、预算和审计。站点连接器以用户态运行，通过带 NAT 穿透的出站隧道工作，因此能穿过限制严格的防火墙。

它面向希望获得 Cloudflare One/Zscaler 式访问控制、又倾向于自托管的 homelab 用户、小团队和系统管理员。需要注意这是基础设施软件，不是单用户小工具：需要配置站点、资源、用户和路由。

快速使用

项目提供三种部署方式，选一种即可：

1. 云端：在 app.pangolin.net 注册账号，使用托管服务。
2. 自托管社区版：按快速安装指南操作；Docker 镜像 fosrl/pangolin 发布在 Docker Hub。
3. 一键部署：AWS AMI（x86 和 Graviton，可通过 user-data 或 CloudFormation 配置），或 DigitalOcean 市场应用；概览见部署文档。

服务端就绪后，典型流程是：在私有网络中安装站点连接器，在 Web 界面注册站点，然后定义资源（HTTP(S) 应用、SSH 主机、CIDR 网段），并把访问权限授予用户或从 IdP 同步的角色。终端用户随后通过资源启动页访问，或为 Mac、Windows、Linux、iOS、Android 安装客户端来连接私有资源。README 有意省略了详细配置步骤，并指向完整文档；实际搭建请以文档为准，这里没有给出完整的命令序列。

使用约束

• 代码分两套：社区版为 AGPL-3；企业版采用 Fossorial Commercial License，个人和爱好用途以及年营收低于 10 万美元的企业可免费使用，超出范围需购买商业许可。
• 自托管需要服务器、带 TLS 的域名（反向代理负责自动证书）、可选的身份提供方（用于 SSO），以及站点连接器所需的出站网络。连接器本身不需要公网 IP 或开放端口。
• AI 网关需要提供方凭据（云 API Key）或可访问的自托管端点；无密钥的客户端访问依赖桌面客户端本身作为凭据。
• 客户端访问私有资源必须在用户设备上安装客户端；仅用浏览器时可覆盖反向代理的 Web、SSH、VNC 和 RDP 资源。
• 具体的平台要求、支持的 IdP 和升级流程只在文档中说明，正式部署前需先核实。

HotRepo 点评

Pangolin 目前有 23,536 个 Star，2026-11-10 进入 TypeScript 日榜，当日新增 125 个 Star，最好名次为第 11。500 分的 Show HN 发布帖把它定位为 Cloudflare Tunnels 的开源替代品；后来的另一帖则讨论它作为基于身份的 VPN 与 Twingate、Zscaler 的对比 讨论。在发布帖讨论中，维护者说明了设计取舍：Pangolin 面向把服务长期、固定地暴露给外部用户的场景，而不是 SSH 隧道或 Tailscale 那种临时连接 回复。后来关于 AI 网关的讨论详细介绍了客户端侧机制：经过认证的 WebSocket 会创建 WireGuard peer，DNS 查询在隧道内被截获，已知资源由平台直接应答 评论。正是这一机制让模型访问可以依靠客户端身份认证，而不必分发 API Key。考虑到功能范围，真正的投入在于运维这套平台，而不只是跑起一个容器。