控制台与系统更新

控制台 用于观察网关当前的连接、流量和错误趋势。它适合确认一次配置或访问是否进入网关，不替代长期监控、日志归档或业务服务自己的可用性检查。

查看控制台

常见指标包括实时入站和出站流量、累计流量、在线连接数、错误趋势、Host 流量以及最近活跃 IP。

排查时按下面的顺序看：

1. 刚添加映射后，从外部发起一次访问，确认在线连接数和流量有变化。
2. 有错误趋势时，进入对应 Host 或请求日志，确认是网关、认证还是上游服务返回的错误。
3. 只有某个域名异常时，检查该 Host 的映射、证书和上游目标，不要把所有问题归因于网关端口。

本机或局域网的流量不能证明公网入口有效。涉及认证、反代或隧道时，使用移动网络等真实外部链路复测。

更新页按部署形态工作

路径：关于 / 更新。所有部署都会显示当前版本、检查结果和发布说明；只有飞牛原生 FPK 能从页面下载安装更新。Windows 原生版由独立的 fn-knock Windows 管理程序处理安装，不在网页更新页执行。

部署形态	更新页能做什么	实际升级方式
飞牛原生 FPK	检查、下载、校验并一键安装	在页面执行一键更新；应用会重启
Docker Compose	检查版本和查看说明	拉取发布镜像并重建容器
OpenWrt	检查版本和查看说明	安装匹配固件格式与架构的 .ipk 或 .apk
Windows x86_64	检查版本和查看说明	在 fn-knock Windows 管理程序或托盘菜单中检查并安装更新

不要在 Docker 或 OpenWrt 的更新页中尝试安装 FPK；页面会把它们标记为不支持应用内更新。Windows 也不要在网页更新页中尝试安装，改用桌面管理程序。

飞牛原生 FPK 更新

在 关于 / 更新 中检查新版本。发现更新后，页面会下载与设备架构相符的 FPK、校验文件，再通过飞牛应用中心安装并重启应用。

更新期间管理后台和网关会短暂不可用。开始前导出配置备份；更新完成后，从飞牛桌面重新打开应用，确认版本号、认证配置和网关入口均恢复正常。

Docker Compose 更新

在部署目录执行：

cd /opt/fn-knock
docker compose pull
docker compose up -d
docker compose ps

如果 .env 中固定了 FN_KNOCK_IMAGE 的版本标签，先将它改为目标版本。镜像不是数据备份：升级前应备份 fn_knock_gateway 和 fn_knock_data 两个持久化卷。

OpenWrt 更新

先选择与固件包管理器和目标架构一致的新包，然后执行：

# opkg 固件
opkg install --force-reinstall /tmp/fn-knock_*.ipk

# apk 固件
apk add --allow-untrusted /tmp/fn-knock_*.apk

/etc/init.d/fn-knock status

若 /tmp 中保留了多个版本，使用完整文件名代替通配符。

本地 .apk 的 --allow-untrusted 只能用于从可信发布渠道获得的包。升级会保留 /etc/config/fn-knock、/etc/fn-knock/gateway 和 /var/lib/fn-knock；保留前仍应备份它们。

Windows x86_64 更新

打开 fn-knock Windows 管理程序，点击“检查更新”，或在系统托盘菜单中执行同一操作。管理程序下载 Windows 安装包时会核对下载来源、文件大小和 SHA-256，随后启动安装器；网页中的 关于 / 更新 只用于查看版本和说明。

安装器会暂时停止服务。新版本未能在就绪检查中启动时，安装器会恢复原来的程序和运行数据；这不是备份替代品，更新前仍应导出应用备份。Windows 卸载或升级后保留 %ProgramData%\FnKnock，其中包含配置、SQLite 和证书等敏感数据。

每次更新后的检查

1. 管理入口能否登录，当前版本是否正确。
2. 网关域名或端口能否从真实外部网络访问。
3. 当前模式、证书、映射和认证规则是否仍符合预期。
4. 正在使用的 FRP、Cloudflared 或其他上游反代是否恢复连接。

fn-knock 的更新不能替代宿主机系统更新和备份。对外网关、证书、DNS 和业务服务都有独立的故障面，更新后应分别验证。

继续阅读：

• 请求日志
• Docker 部署
• OpenWrt 部署
• Windows x86_64 部署