从外网访问

NAS 版的网页本身是明文 HTTP。在局域网里直接用 http://<IP>:17890/ 访问没有问题；从外网访问时，必须放在 HTTPS 反向代理或组网隧道后面，否则密码和登录状态可能在途中被截获。用明文 HTTP 从外网打开时，登录页也会给出这条提醒。

可以任选一种做法：

• 组网隧道：在 NAS 和要访问的设备上装同一个组网工具，用组网分配的地址访问，不需要公网 IP 和域名。思路与没有公网 IP 时远程投递相同。
• HTTPS 反向代理：有域名和公网入口时，用反向代理申请证书，再转发到 NAS 版。NAS 自带的反向代理功能也可以，按下面的要求配置。

反向代理的要求复制本节链接

• 保留原始 Host，或给出 X-Forwarded-Host；同时传 X-Forwarded-Proto 和 X-Forwarded-For。没有保留 Host 时，网页能打开，但一点按钮就失败。
• 关闭代理缓冲，并把读取超时调长。网页的实时更新依赖一条长连接，缓冲会让进度和状态停住不动。
• 只让反向代理访问时，把 compose.yaml 的端口写成 "127.0.0.1:17890:17890"，避免绕过代理直接访问。

下面两个示例中，loader.example.com 换成你的域名。

loader.example.com {
    reverse_proxy 127.0.0.1:17890 {
        flush_interval -1
    }
}

外网访问时的安全复制本节链接

• 管理员密码设得足够长，不要与其他网站共用。登录有防暴力破解保护，连续输错多次后会暂时锁定。
• 用 HTTPS 打开网页后，浏览器允许网页读取剪贴板，“打开新建下载时自动粘贴链接”可以正常使用。
• 疯狂URL、手机 App 和第三方程序通过外网连接时同样要走 HTTPS 地址，令牌泄露后在“设置 → 远程访问与 API”中轮换或删除。不用这些接入方式时，关闭“启用 API 服务”。