来源：intranet-tunnel/deploy/cloud/README.md（整篇）（原文 5604 字符）

内网穿透系统 —— 云服务器部署包

本目录是一套可直接部署到云服务器的完整配置，与本机测试版（仓库根的 docker-compose.yml）相比做了 4 处针对云环境的调整。

在已运行宝塔面板的服务器上部署？ 先读 BAOTA-DEPLOY.md（源码路径 ./BAOTA-DEPLOY.md）。 那篇记录了 2026-09-12 的实测：80/443 被宝塔占用时的共存方案、 * 泛解析与 _acme-challenge 被占用时的域名规划、以及本项目自带的 DNS-01 证书链路为何在阿里云上不可用（附根因与绕行方案）。

一、包内文件

云版与本地版的差异：

1. postgres 不再映射端口到宿主机 —— 服务端容器通过 compose 网络用服务名 postgres 访问即可，减少暴露面
2. tunnel-server 放开 nofile 到 65535 —— 隧道服务持有大量并发连接，默认 1024 在高并发下会 too many open files
3. 各服务加 no-new-privileges —— 容器内进程无法再提权
4. **资源上限走 .env 的 *_LIMIT 变量** —— 按服务器规格调整

二、部署前必须做的三件事

1. 确认服务器架构

现有镜像 tar 是 amd64 的，如果服务器是 arm64 则无法使用。在服务器上执行：

uname -m

• 输出 x86_64 → 可直接用现有镜像 tar
• 输出 aarch64 或 arm64 → 需要重新导出 arm64 镜像（告诉我，我在本地用 buildx 交叉构建）

2. 配置云安全组

只需放行这些端口（其余一律不要开）：

3. 修改 .env 与 nginx 配置

.env 里只有 2 处需要填（其余已自动生成，含强随机密钥）：

EXTERNAL_IP=<服务器公网IP>      # NAT/云环境必填，影响隧道入口地址拼接
CERT_EMAIL=<你的邮箱>           # 证书申请的联系邮箱

nginx 配置里需要替换域名（两个文件）：

# nginx/conf.d/10-panel.conf   把 <PANEL_DOMAIN> 全部替换为面板域名
# nginx/conf.d/20-tunnel.conf  把 <TUNNEL_DOMAIN> 全部替换为隧道域名

例如：

sed -i 's/<PANEL_DOMAIN>/panel.example.com/g'  nginx/conf.d/10-panel.conf
sed -i 's/<TUNNEL_DOMAIN>/example.com/g'       nginx/conf.d/20-tunnel.conf

提示：隧道域名建议用泛域名（如 *.example.com），这样以后新增隧道都不用再动 nginx。 但泛域名证书只能用 DNS-01 验证（HTTP-01 签不了通配符）。

三、部署步骤

1. 上传

# 本地执行
scp -r deploy/cloud/* user@<服务器IP>:/home/docker/intranet-tunnel/
scp release/intranet-tunnel-server-images-<版本>.tar user@<服务器IP>:/home/docker/intranet-tunnel/

2. 导入镜像（不需要联网）

cd /home/docker/intranet-tunnel
docker load -i intranet-tunnel-server-images-<版本>.tar
docker images | grep -E 'intranet-tunnel|postgres|nginx'
# 应看到：intranet-tunnel/server:1.0.0、postgres:16-alpine、nginx:alpine

3. 建运行时目录

mkdir -p logs/nginx cores certs backups/db

4. 启动

docker compose up -d
docker compose ps          # 三个容器应为 healthy
curl -s localhost:47801/healthz
# 期望：{"status":"ok","database":"ok",...}

5. 首次登录

浏览器打开 https://<面板域名>/

• 用户名：admin
• 口令：见第四节（已自动生成的强随机口令）

首次登录需要输入图形验证码（默认开启）。

四、已自动生成的凭据

这些是随机生成的，请立即保存到密码管理器。 部署后可在 .env 里查看：

⚠️ CONFIG_ENCRYPT_KEY 一旦开始使用就不能再改。 它加密着数据库里的敏感设置项（SMTP 口令、DNS 服务商凭据等）。 改了密钥，这些已保存的值将无法解密，需要重新填写。 请把它和数据库备份一起妥善保管。

五、证书申请

部署完成后，在面板里为域名申请证书：

1. 进入「SSL 证书」→「申请证书」
2. 填域名（面板域名 + 隧道域名各申请一张，或申请一张泛域名）
3. 验证方式选 HTTP-01（需 80 端口可从公网访问，安全组已放行）
4. 邮箱填 CERT_EMAIL 的值

证书签发后落在宿主机 ./certs/<域名>/，含 cert.pem 与 key.pem，nginx 已挂载该目录。

申请完成后执行一次 docker compose restart nginx 让 nginx 加载新证书。

已知限制：证书自动续期后 nginx 不会自动重载，需要手动执行上面的 restart。 如需自动化，可以给 nginx 容器挂载 docker socket 并加 inotify 脚本 —— 但那会扩大容器的权限面，本项目默认不做。

六、安全加固建议

按你的选择「nginx 转 HTTPS + 安全入口」，建议再做这几步：

1. 设置安全入口：面板「系统设置」→「安全入口」填一段自定义路径（如 /tunnel-console）。

之后只有该路径能打开后台首页，其它路径返回 404，可挡掉绝大多数扫描器。

1. 限制面板来源（可选）：在 nginx/conf.d/10-panel.conf 里取消 allow/deny 注释，只放行你的常用出口 IP。
2. 面板不要直接暴露 47801：compose 里已绑定 127.0.0.1，确认安全组也没放行它。
3. 开启告警邮件：填好 SMTP 后，登录爆破、服务异常会发邮件通知。
4. 定期检查审计日志：面板「日志审计」可查所有管理操作。

七、日常运维

# 查看状态 / 日志
docker compose ps
docker compose logs -f tunnel-server
docker compose logs -f postgres     # 时间戳应为 CST

# 重启 / 停止（保留数据卷）
docker compose restart tunnel-server
docker compose stop
docker compose down

# 更新服务端（导入新镜像后）
docker load -i intranet-tunnel-server-images-<新版本>.tar
docker compose up -d

# 数据库备份产物
ls -lh backups/db/                  # db-backup 每 24 小时一次，保留 30 天

恢复数据库：

docker compose exec -T postgres pg_restore -U tunnel_user -d tunnel --clean < backups/db/tunnel-<时间戳>.dump

八、排障

九、需要我提供什么

如果还有以下信息，我可以把配置改成最终版，你直接上传即可：

1. 公网 IP
2. 面板域名 与 隧道域名（隧道是否用泛域名？）
3. 服务器规格（决定 *_LIMIT 资源上限取值）
4. uname -m 的输出（确认架构，arm64 需要重新构建镜像）

来源：intranet-tunnel/release/README.md → ## 一、包内文件（原文 589 字符）

一、包内文件