自托管与访问

我会怎么用

想把面板、媒体库或家庭服务安全地提供给自己和家人访问的人。

推荐顺序

1. 先决定服务是否真的需要公网访问；只在内网使用的管理面板优先走 VPN 或 Cloudflare Access。
2. 为每个服务准备独立域名或路径、最小权限账号和备份策略，再配置反向代理。
3. 从外网用真实客户端验证登录、上传、WebSocket 和大文件访问，不要只看首页能否打开。
4. 最后建立更新窗口和回滚办法：先备份配置与数据，再升级镜像或代理。

结果怎么看

• 反向代理解决的是入口和 TLS，不会自动替你完成身份认证；管理入口仍需要 MFA 或额外访问策略。
• Cloudflare Tunnel 能隐藏源站 IP，但源站防火墙、应用权限和密钥管理仍然重要。
• 低维护的关键是减少暴露面和组件数量，而不是把所有服务都接入一个复杂面板。

常见坑

• 把管理端口、Docker Socket 或 SSH 直接暴露在公网。
• 代理配置能访问但上传失败，往往是请求体大小、超时或 WebSocket 没有转发。
• 只备份容器，不备份数据库、密钥和反代配置，重建后仍然无法恢复。

安全提醒

• 不要在公开页面放家庭 IP、内网域名、访问令牌或私人服务入口。
• 任何一键安装脚本先审阅源码，并锁定版本；更新前保留可验证的备份。

维护者备注：我更偏好“少暴露一个端口”而不是“多装一个安全插件”，入口越少，长期维护越轻松。