Knock 敲门不止飞牛，轻松配置公网访问，更安全的工具

这套文档怎么读 ​

如果你第一次接触 敲门 knock，建议按下面的顺序阅读：

1. 安装与首次进入
2. 端口、入口与访问路径
3. 直连模式、反代模式与子域模式
4. 根据场景继续：
   • 有公网入口和域名，且希望每个服务都有独立子域：优先看 子域模式上手
   • 没有公网 IP，或想把多个服务统一挂到一个入口下：看 反代模式上手
   • 仍然必须登录后直接访问原始端口：再看 直连模式上手

按场景直接开始 ​

先记住两个最重要的入口 ​

• 飞牛桌面的“敲门 knock”图标：这是管理后台入口，用来改模式、绑 TOTP、配证书、配映射、看日志。
• 7999 端口或其映射出来的域名：这是统一访问入口，对外访问最终都会走这里。

一句话理解：

• 你在桌面点击图标，是在“管理 fknock”
• 你在浏览器访问 7999 或域名，是在“经过 fknock 访问服务”

文档结构总览 ​

快速开始 ​

回答“应该怎么装、怎么进、应该选哪个模式、第一步该配什么”。

功能详解 ​

回答“某个功能到底是做什么的、字段怎么填、适用边界是什么、常见误区有哪些”。

初心 ​

回答“我们为什么要做这个产品，这个产品解决了什么问题”。

场景教程 ​

回答“如果我是某一种典型用户，应该按什么顺序把所有零散功能串起来”。

你会在这套文档里看到什么 ​

• 为什么当前更推荐子域模式，而不推荐把直连模式作为新部署首选
• 直连模式为什么默认只保留 7999 入口，以及它和 IP 白名单的关系
• 子域模式为什么更像“直连模式的升级版”，以及它如何通过 auth.example.com 和业务子域组织访问
• 反代模式为什么更适合 FRP / Cloudflared / 多服务统一入口
• TOTP、Passkey、记住我、退出登录、自动白名单之间的真实行为
• 重写 HTML、去除前缀、根目录模式 这些映射选项分别适合什么应用
• 子域映射里的标题、图标抓取和书签导出应该怎么用
• 智能连接为什么只在子域模式下可用，以及为什么还要改路由器 DNS
• DDNS 管理支持哪些提供商、更新范围和出站网卡该怎么选
• IP 归属地设置里，官方在线服务和自定义服务分别适合什么场景
• 腾讯云 EdgeOne / 阿里云 ESA 接到 fknock 前面时，为什么回源端口仍然要填 7999
• 为什么给 EdgeOne / ESA 接入 fknock 时，建议先关闭缓存、开启 WebSocket、关闭 IPv6
• Cloudflare DDNS 的参数应该去哪里拿
• Cloudflare Turnstile 的 site_key 和 secret_key 去哪里拿
• 网关可见性能否按地区或 CIDR 先收窄谁能碰到统一入口
• Cloudflared 公网端为什么会区分 HTTPS localhost:7999 和 HTTP localhost:7999
• Cloudflared 日志里的证书主机名不匹配到底在说什么
• 请求日志里 已登录 / 需要鉴权 / 路由类型 / 上游目标 这些字段应该怎么读
• WAF 如何同步系统规则、调整防护强度，以及如何通过 Trace ID 排查命中详情
• 事件中心里的通知提供商、通知规则、投递记录分别是做什么的
• SSH 安全如何根据登录日志、地区范围和失败次数自动封锁来源 IP
• 会话管理里的 IP 漂移轨迹 应该怎么读
• 记住我、普通登录、自动白名单的默认时长和自定义有效期如何一起理解
• 外部账号登录如何把 Google、Microsoft、GitHub 或自定义 OIDC 账号绑定到 TOTP
• 协议映射为什么适合 SSH / MySQL / Redis，但不适合浏览器页面
• Web 终端为什么依赖 tmux，以及为什么刷新页面后还能接回原会话
• 飞牛 App 在反代模式和直连模式下，为什么要先走不同的网页认证入口
• 飞牛分享直通在反代模式和子域模式下，分别依赖哪些前提

推荐的阅读策略 ​

• 想快速完成部署：优先读教程页
• 想先搞懂原理再动手：优先读功能页
• 想排错：先回到对应功能页，再看 FAQ