IP 白名单
白名单保存允许访问的来源：单个 IP、CIDR、定期解析的 CNAME，以及按地区生成的 CIDR 组。它既用于直连模式中的主机防火墙放行，也为登录后的 IP 授权和历史映射规则提供来源数据。
在 会话管理 → IP 白名单 管理来源授权。
三类来源
| 来源 | 由谁创建 | 典型用途 |
|---|---|---|
| 手动记录 | 管理员在 IP 白名单 中添加 | 固定办公出口、可信 VPN、CIDR、CNAME 或地区 CIDR 组 |
| 自动记录 | 登录成功后的 IP 授权策略 | 临时为当前公网 IP 授权 |
| 本地豁免 | 网关内置判断，不显示为记录 | 回环、私网、链路本地和 CGNAT 来源 |
本地豁免优先于白名单和登录检查。它不能关闭，也不应被当作公网访问的安全验证结果。
手动白名单
在 IP 白名单 点击“添加目标”，可配置：
| 字段 | 说明 |
|---|---|
| 类型 | 单个 IP、CIDR 网段或域名/CNAME |
| CIDR 来源 | 手动输入，或按地区选择 |
| 检查周期 | 域名解析的刷新周期，默认 5 分钟，最少 1 分钟 |
| 有效期 | 1 小时、24 小时、7 天或自定义小时；也可保存为永久 |
| 备注 | 记录用途、负责人或复核时间 |
CIDR 地区选择会保存为独立的地区白名单组，不会把全部地址段展开到普通白名单列表。地区还可按电信、联通或移动筛选；只有连接的 CIDR 地址库提供运营商数据时，运营商筛选才可用。
手动记录适合长期可信、来源稳定的网络；手机流量、临时 Wi-Fi 和不明出口不应设为永久。地区白名单会允许所选地区的大量公网地址，风险明显高于固定 CIDR。
CNAME 会按系统的解析结果更新实际放行范围；只使用自己控制、解析结果可预期的域名。地区与运营商 CIDR 组依赖 IP 归属地数据，适合粗粒度收窄，不适合作为唯一的高精度身份判断。CIDR 地址库不提供运营商数据时，仍可使用普通地区与自定义 CIDR。
列表会显示目标、解析到的 IP、来源、状态、过期时间、创建时间和备注。域名记录可执行“立即更新”，备注可直接修改。删除记录或地区组后，如果没有其他有效记录覆盖同一来源，直连防火墙中的对应放行会失效。
手动白名单也是 要求登录 Host 的独立放行路径。不要添加宽泛的公网网段，否则该网段中的访问者可能不经网页登录就进入受保护服务。
自动 IP 授权
登录后的自动记录由 系统设置 → 会话 控制。它可以跟随会话、完全关闭或使用固定时长。自动记录用于改善登录后的访问体验，但不适合替代长期权限规划。
退出登录会清理与该会话关联的自动授权；手动记录不会受影响。
自动记录会显示登录凭据或会话来源、过期时间和属地，便于与活动会话对照。删除自动记录会撤销对应 IP 放行，但不会自动结束浏览器会话；需要完整撤销时同时删除会话。
与访问策略的关系
| 当前映射设置 | 白名单的作用 |
|---|---|
| 公开访问（当前登录优先映射） | 不需要认证，也不依赖白名单 |
| 要求登录 | 手动来源授权可独立放行；自动 IP 授权通常允许同一来源继续访问，但不覆盖已携带的服务范围拒绝；没有可用来源授权时再检查会话 |
旧版导入的 Host 映射可能仍保存“严格白名单”策略。它即使关闭 要求登录 也不一定公开，只检查有效的来源授权记录（手动记录或登录后自动创建），浏览器会话 Cookie 本身不能替代来源条件。若启用登录后自动 IP 授权，完成登录通常会产生自动记录并通过这类历史规则。当前 Host 编辑界面不提供新建该策略的开关；若要退出该规则，记录完整映射后按当前界面重新创建。若严格规则必须只允许手动名单，关闭登录后自动 IP 授权并核对仍有效的自动记录。
直连模式中的效果
只有飞牛标准 FPK 会把有效白名单同步到宿主机防火墙。Docker、OpenWrt、通用 Linux、macOS、群晖 DSM 7 SPK 和 Windows 均不能依赖 fn-knock 白名单打开原始端口；macOS 运行时不会调用 iptables。
页面中的记录仍会参与网关授权，但不能替代这些平台自身的防火墙。当前版本会把有效的精确 IP、CIDR 和地区组编译为统一策略，并同步活动会话与授权来源到网关运行态；新增、过期、删除或撤销后会重新同步，避免管理页与网关使用不同的旧名单。
在直连模式中，公网来源 IP 变化后，原始端口的访问不会触发会话续接。请先回到网关入口完成认证，再重试原始服务端口。
排查
添加后仍不能访问
确认记录未过期、域名已解析到当前来源、目标端口确实由 fn-knock 管理。Docker 或其他不支持主机防火墙的平台还需单独检查宿主机防火墙。
域名白名单地址未更新
查看上次检查时间和解析状态，执行“立即更新”。检查 DNS、检查周期以及 CNAME 的 A/AAAA 结果；只返回私网地址或没有记录时不会得到预期公网放行。
删除记录后仍能访问
检查是否还有重叠 CIDR、地区组、另一条域名解析记录、活动会话、本地豁免，或 Host 被设置为公开访问。