加固建议

管理界面控制着 DNS、证书与端口，建议按以下清单配置。

管理界面

• [ ] 首次登录后修改管理员密码
• [ ] 开启两步验证（TOTP），或注册 Passkey
• [ ] 家人或同事只需查看时，为其创建只读账号，不要共享管理员密码
• [ ] 设置安全入口，使管理界面只能通过自定义路径访问
• [ ] 开启「仅内网访问」，需要外网管理时通过 VPN（如 Tailscale）进入
• [ ] 在不可信网络中访问时，启用管理界面 HTTPS
• [ ] 自动化脚本与 命令行 / MCP 使用最小权限的 API 令牌，设置过期时间，避免共享管理员密码
• [ ] 为 配置备份 设置加密口令，并开启定时备份
• [ ] 在 通知中心 用「安全与登录」「配置变更」「关键故障」模板配置推送
• [ ] 管理界面经本机反向代理暴露时，确认 审计日志 中记录的是真实来源；端口转发入口请开启 PROXY 协议
• [ ] 下载新版本后按 校验发布产物 核对签名
• [ ] 在「设置 → 功能模块」关闭用不到的模块，减少监听的服务与可调用的接口
• [ ] 飞牛 fnOS 用户只在信任全部飞牛管理员账号时开启「飞牛登录态自动登录」：开启后，任一飞牛管理员账号被盗用都等同于 Gately 管理员账号被盗用

对外服务

• 通过 Web 服务 暴露内网服务时，启用 HTTPS，并配合基本认证、网页认证或第三方登录；
• 对公网站点开启 WAF，先以「仅检测」观察误报，再切换为「拦截」；
• 使用 IP 黑白名单、GeoIP 国家过滤与认证失败自动封禁限制来源。

Docker

挂载 docker.sock 等同于授予宿主机 root 级权限。不需要 Docker 管理 时去掉该挂载。

Web 终端

本机 Shell 默认关闭，确有需要时再开启，并确保管理界面已启用两步验证。

配置备份

把配置目录纳入私有 git 仓库或定期备份。ssl.json 中含证书私钥，请妥善保管。