Pangolin：基于 WireGuard 的开源 SASE 平台部署指南

Pangolin 是一个开源 SASE 平台，基于 WireGuard，把零信任 VPN、零信任反向代理、特权访问管理（PAM）与身份感知 AI 网关合为一体，共享同一身份与策略模型。理念类似 Cloudflare One / Zscaler，但开源、可自托管、轻量。

一、项目官方信息

二、官方图片

Pangolin 仓库预览：

三、环境要求

• 一台 VPS（推荐 1 核 1G 以上）。
• Docker / Docker Compose。
• 一个域名（用于反代 HTTPS）。
• 客户端（Mac/Windows/Linux/iOS/Android）。

四、完整部署步骤

1. 快速安装

官方提供一键脚本，见 https://docs.pangolin.net/self-host/quick-install 。

或用 Docker Compose：

git clone https://github.com/fosrl/pangolin.git
cd pangolin
docker compose up -d

2. 访问管理台

浏览器打开 https://你的域名，首次进入创建管理员账号。

3. 创建 Site

在 Sites 页面添加 Site，把 connector 部署到内网：

docker run -d --name pangolin-connector \
  --restart=unless-stopped \
  fosrl/pangolin-connector:latest

4. 添加资源

在 Resources 里添加 SSH/RDP/Web 等资源，绑定 Site 与访问策略。

5. 用户接入

• 浏览器反代：直接访问资源 URL，SSO 登录；
• 客户端：下载 Pangolin 客户端，登录后访问私有资源。

五、使用方法

站点与 NAT 穿透

Site connector 用出站隧道 + 智能 NAT 穿透，不需要公网 IP 或开放端口，即可把内网资源暴露给授权用户。

浏览器反代访问

在浏览器里访问 HTTPS Web 应用、VNC、RDP、SSH，无需装客户端，SSO + 细粒度访问控制，自动 SSL 证书。

客户端私有资源访问

通过 Pangolin 客户端访问 SSH、数据库、RDP、整段 CIDR，DNS 别名提供友好名称，支持多 connector 冗余。

身份感知 AI 网关

在 OpenAI/Anthropic/Gemini 与自托管模型（Ollama/vLLM）前加代理，统一 URL，预算、会话历史、用量分析。

RBAC 与审计

内置用户或接 IdP，按角色授权资源，完整审计日志。

部署选项

• Pangolin Cloud：全托管；
• 社区版：免费开源，AGPL-3.0；
• 企业版：开源核心，个人/小收入公司免费。

六、常见问题 FAQ

1. 与 frp/Cloudflare Tunnel 区别？ Pangolin 是 SASE 一体化平台，含 VPN、反代、PAM、AI 网关与 RBAC，不只是隧道。

2. 一定要 Docker 吗？ 推荐 Docker/Compose；也有一键脚本。

3. 客户端支持哪些平台？ Mac/Windows/Linux/iOS/Android 全平台。

4. 免费版有什么限制？ 社区版 AGPL-3.0 免费，企业版高级功能需商业授权。

5. 如何接 IdP？ 在设置里配置 OIDC/SAML，同步用户与角色。

6. 有 SaaS 吗？ 有，Pangolin Cloud 见 https://app.pangolin.net 。

七、跳转链接

• GitHub 仓库：https://github.com/fosrl/pangolin
• 官方文档：https://docs.pangolin.net
• 快速安装：https://docs.pangolin.net/self-host/quick-install
• Pangolin Cloud：https://app.pangolin.net
• Discord：https://discord.gg/HCJR8Xhme4