端口、反向代理与可信代理

端口复制链接

监听与发布变量复制链接

各编排文件的取值：

compose.yml 的 Web 端口默认只在本机可达，由宿主机反向代理对外：Docker 发布的端口绕过 ufw、firewalld 等主机防火墙。不经代理直接访问时设置 EDGEWEIR_HTTP_PORT=3000。

节点通道地址与证书复制链接

节点通道地址是节点与区域探针连接节点通道的地址，即安装命令中的 --server。在 系统设置 的「节点通道」卡片中修改，保存即生效，不重启控制台。取值顺序：

清空输入框并保存后回到 2、3。格式为 https://主机[:端口]（节点通道端口），或 wss://主机[:端口]、ws://主机[:端口]（Web 端口上的 WebSocket 入口），不含路径、查询参数与账号；端口省略时为 443（ws:// 为 80）。

• 节点通道的服务端证书由内部 CA 签发，名称包括：localhost、127.0.0.1、::1、容器主机名、EDGEWEIR_NODE_API_URL 的主机名（未设置时为默认地址的主机名）、EDGEWEIR_NODE_API_HOSTNAMES 的全部条目、系统设置 中保存的地址的主机名或 IP，以及此前生效过的节点通道地址的主机名或 IP（保留最近 32 个）。
• 在 系统设置 保存地址后，每个控制台实例立即为新名称重新签发证书，新握手使用新证书，已建立的连接不受影响；修改环境变量后重启生效。
• 已注册的节点与探针一直使用注册时记录的 server_url 与 TLS 服务器名（/var/lib/edgeweir-node/identity.json），修改地址不会改变它们：旧地址需保持可用（旧名称留在证书中），或在节点上重新注册。
• CA 指纹（SHA-256）出现在启动日志 node channel listening 的 caSha256、系统设置 的「CA 指纹」、安装命令的 --ca-sha256。

反向代理 Web 控制台复制链接

server {
  listen 443 ssl;
  server_name cdn-admin.example.com;
  # ssl_certificate     ...;
  # ssl_certificate_key ...;
  location / {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  }
}

节点通道四层透传复制链接

8443 需要经 nginx 统一入口时，使用 stream 四层透传。

1. 将节点通道改到本机端口 18443：

   部署	设置
   compose.yml、compose.baota.yml	.env：EDGEWEIR_NODE_API_PORT=127.0.0.1:18443
   进程直接监听（pnpm dev、非容器运行）	NODE_API_HOST=127.0.0.1、NODE_API_PORT=18443
   compose.baota-host.yml	.env：EDGEWEIR_NODE_API_HOST=127.0.0.1、EDGEWEIR_NODE_API_PORT=18443；不写在 compose.override.yml：宝塔 / aaPanel 以 docker compose -f 执行编排时不读取它，见 baota.md

   EDGEWEIR_NODE_API_URL 保持对外的 :8443。

   复制

   docker compose up -d

2. 在 nginx 主配置的 http { } 块之外加入：

   复制

   stream {
     server {
       listen 8443;
       proxy_pass 127.0.0.1:18443;
       proxy_timeout 1h;   # 节点通道长连接（WatchConfig 流）
     }
   }

   不写 ssl、proxy_ssl、proxy_protocol：只转发 TCP。listen 8443; 只监听 IPv4，节点通道域名有 AAAA 记录时再加 listen [::]:8443;。主配置已有 stream 块时（宝塔 / aaPanel 见 baota.md）把 server 放进已有的块；发行版软件包把 stream 编译为动态模块时（如 Debian 的 libnginx-mod-stream）先安装并加载该模块。

3. 检查并重载 nginx：

   复制

   nginx -t && nginx -s reload

4. 验证：

   复制

   openssl s_client -connect cdn-admin.example.com:8443 -servername cdn-admin.example.com </dev/null 2>/dev/null \
     | openssl x509 -noout -issuer

   预期：签发者含 Edgeweir Node Channel CA。出现其他签发者表示 TLS 被中间设备终结。系统设置 的「节点通道」卡片中的连接检查做同样的检查，从控制台所在网络连接节点通道地址，见 节点通道连接检查。

节点通道的 WebSocket 入口复制链接

平台只转发 HTTP（如 Render），或 8443 无法对外开放时，节点经 Web 端口上的 WebSocket 入口连接节点通道。

1. 设置节点通道地址，任选其一：

   • 系统设置 的「节点通道」填写 wss://cdn-admin.example.com，保存；立即生效。
   • 设置 EDGEWEIR_NODE_API_WEBSOCKET=true 并重启控制台：未设置 EDGEWEIR_NODE_API_URL、系统设置 中也没有保存地址时，默认地址为 wss://<EDGEWEIR_PUBLIC_URL 的主机[:端口]>。

2. 控制台前有反向代理时，转发 /node-channel 的 WebSocket 升级。nginx：

   复制

   location = /node-channel {
     proxy_pass http://127.0.0.1:3000;
     proxy_http_version 1.1;
     proxy_set_header Host $host;
     proxy_set_header Upgrade $http_upgrade;
     proxy_set_header Connection "upgrade";
     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
     proxy_read_timeout 1h;   # 节点通道长连接（WatchConfig 流）
     proxy_send_timeout 1h;
   }

3. 验证：

   复制

   curl -s -o /dev/null -w '%{http_code}\n' https://cdn-admin.example.com/node-channel

   预期：426。系统设置 的「节点通道」连接检查经 WebSocket 完成 TLS 握手，显示「连接正常」。

可信代理与客户端 IP复制链接

审计日志的 IP 与认证接口限速使用控制台解析出的客户端 IP。

• 格式：逗号分隔的 IP 或 CIDR，例如 172.18.0.1 或 10.0.0.0/24。IPv4 映射的 IPv6 地址（::ffff:192.0.2.1）按 IPv4 处理。
• 条目无法解析时控制台拒绝启动：EDGEWEIR_TRUSTED_PROXIES: not an IP address or CIDR range: <条目>。
• 认证接口限速计数保存在 PostgreSQL，多个实例共享，重启不清零。

查询网关地址：

docker network inspect edgeweir_default --format '{{range .IPAM.Config}}{{.Gateway}}{{end}}'

验证：经代理登录一次，查询最近的审计记录：

docker compose exec -T postgres psql -U edgeweir -d edgeweir \
  -c "select occurred_at, action, ip from audit_log order by id desc limit 5"

预期：ip 为浏览器的公网地址，而不是网关地址。

排障复制链接