数据库外访默认仅绑定本机回环，局域网和公网不可直连；开放须同时改 compose 绑定并放行防火墙，更推荐 SSH 隧道，注释映射不影响服务端。备份链路已跑通且可恢复，建议装 cron，日志轮转用 maxsize；宿主另有 PostgreSQL，DB 操作走 docker exec。镜像须在 VOLUME 前创建并 chown 数据、日志、备份、证书目录，否则文件日志和备份静默失败；bind mount 需将宿主目录权限改为 10001。发现端口暴露、角色权限过高、私钥可读与口令明文等风险，需收敛暴露与权限。

排障隧道时容易自设陷阱。curl --resolve 指到 127.0.0.1 会绕过公网入口 SNI 并实测 404，应解析到公网 IP；DNS 缓存会让新增 *.tunnel 记录看似未生效，本机仍解析旧阿里云 IP 并返回他站内容，需等缓存过期或强制解析。Portainer CE 响应头易误认成企业站，判断隧道生效应看 X-Proxy-By: intranet-tunnel 或 HTML 中的 Portainer 标识。此外，EnsureTunnelRule/RemoveTunnelRule 无调用点，隧道变更后反代规则不自动更新，访问域名返回内置反代 404，启动日志 rules=0 tunnel_rules=N 可判断；临时调用重载接口或重启 tunnel-server，根治需在 control 包变更处调用。

服务端可调 API 脚本化检查：先验 /healthz 和公开配置，登录后查 20 项端点；密码从容器环境变量取，勿写脚本。using_default_credentials 只判断用户名是否为 admin，并非弱口令。凭据失效先查审计日志中的 token/password 重置；ERROR 日志按时间戳判断是否历史遗留；关验证码需备份恢复。服务器无源码，镜像更新走本地构建、save、上传、load、改 tag、up -d，保留旧 tag 可回滚。DSH 会话记录可恢复源码，zstd 需逐帧解压，只重放成功操作，防重复与 BOM 问题。

隧道客户端验证与排障要点：测隧道域名须解析到公网 IP，勿用 --resolve 指向 127.0.0.1，否则绕过 SNI 返回 404；DNS 缓存会造成新记录未生效假象。确认是否经本方案应看 X-Proxy-By: intranet-tunnel，而非仅看状态码或 Portainer 响应头；更严格可用 SHA256 与后端直连比对，动态页面改比响应头。排查可用 logs、print-config、/healthz；tunnels 含服务端下发，可能多于 tunnels.json，persistence:false 多因 data/ 权限。常见故障涉及 Token、连接/证书、502、env_file 需重建、47802 端口绑定及配置持久化。

隧道流量统计恒为0已在v1.0.4修复。根因是1.0.1把公网入口交给内置反代时只搬流量、未搬记账，统计仍只挂在数据面路径。修法是在反代隧道连接上记账，不包ResponseWriter，以覆盖HTTP、SSE、WebSocket，并须共用同一stats.Collector，否则会静默丢弃。验证需访问隧道3次确认增量非0，且未访问隧道仍为0。1.0.1还修复反代规则不自动同步和48080监听冲突，生产compose漂移须回写仓库。