Docker 部署内网穿透客户端：客户端只出站连服务端 47800，开启 WEB_ENABLE 后才监听 47802 的 Web 配置界面，默认绑所有接口。部署前须运行 init.sh 并授权 data/ 给 uid 10001，否则配置库降级、界面配置重启丢失。配置优先级为 client.env、Web 界面、.env、默认值；改 client.env 需重建容器，Web 保存即时生效。容器内 127.0.0.1 是自身，宿主机服务用 host.docker.internal，静态隧道用 TUNNELS_FILE。验证看 /healthz 和 X-Proxy-By；隧道变更后反代规则不会自动更新，需重载或重启服务端。实测云端链路可打通，升级不影响 data/。

飞牛 OS NAS 用 Docker 部署内网穿透客户端一次成功，三条隧道全通，服务端在线数由 0 变 1。容器场景必须用隧道文件配置，简写参数会固定为容器内 127.0.0.1，不适用。域名按全库查占用，不能跨客户端复用；落入泛域的新隧道云端无需改动。改隧道文件只需重启，改凭据文件必须强制重建。验证应比对经隧道与 NAS 直连后端的哈希，并查代理头；流量统计表存窗口增量而非累计。1.2.0 起以配置库为权威。升级前若遇家目录权限导致 Docker 配置失败，可临时指定配置目录；旧容器名冲突先删再启动；实测仅一个泛域生效。

内网穿透系统云服务器部署包提供可直接部署的 compose、nginx 与 .env 配置及离线镜像，较本机版做了四项云环境调整：postgres 不映射宿主机端口，tunnel-server 的 nofile 提至 65535，容器加 no-new-privileges，资源上限由 .env 控制。部署前须确认 amd64/arm64 架构，安全组只放行 80、443、47800 等必要端口，勿开放 47801 和 5432；填写 EXTERNAL_IP、CERT_EMAIL 并替换 nginx 中的面板与隧道域名。自动生成的强随机凭据需立即保存，CONFIG_ENCRYPT_KEY 不可更改。证书用 HTTP-01 申请，续期后手动重启 nginx。发布包含服务端、客户端镜像与升级/自包含部署包，服务器无需联网。