飞牛 Docker FPK 部署
飞牛 Docker FPK 是独立的 fnOS 应用包。它由应用中心管理 Docker Compose，并运行 kcilnk/fn-knock:latest；它不是原生飞牛 FPK，也不能直接套用 Docker Compose 部署 中的目录和命令。
它保留 Docker 版的能力边界：可使用 Host / 路径网关与隧道，不支持直连模式、宿主机防火墙管理、智能连接、自动 HTTPS、SSH 安全和 Web 终端。
安装
从发布渠道获取与设备架构匹配的 fn-knock-docker FPK，在飞牛应用中心的手动安装入口选择该包。安装向导会创建 Docker Compose 配置并拉取镜像；安装前确认设备上的 Docker 可用且网络能拉取镜像。
向导要求填写五个端口，端口必须在 1–65535 之间且彼此不同。没有冲突时保留默认值：
| 向导字段 | 默认值 | 用途 |
|---|---|---|
ADMIN_VIEW_PORT | 7991 | Docker 管理面板入口 |
GO_REPROXY_PORT | 8999 | 网关入口；默认避开原生飞牛 FPK 的 7999 |
BACKEND_PORT | 7998 | 管理后端内部端口 |
AUTH_PORT | 7997 | 认证服务内部端口 |
GO_BACKEND_PORT | 7996 | 网关内部管理端口 |
向导还会询问 Docker IPv4 / IPv6 子网、时区、可信管理反代 CIDR 和局域网 IP 兜底。只有在默认 Docker 网段与现有容器网络、VPN 或路由冲突时才修改子网；管理反代 CIDR 只填写自己控制的前置代理，不要使用 0.0.0.0/0。
首次进入
安装完成后，从飞牛桌面的 敲门knock 图标进入管理面板，默认地址是：
text
http://<飞牛局域网地址>:7991/首次进入设置的是 Docker 管理面板密码，不是访客访问业务 Host 时使用的 TOTP、账号密码或 Passkey。对外业务流量应进入 8999，或由路由器、隧道和前置代理转发到向导中实际设置的网关端口。
验证与后续配置
- 在应用中心确认 Docker FPK 及其容器处于运行状态。
- 从局域网打开管理面板并设置面板密码。
- 选择子域或内网穿透方案，配置认证 Host 和第一个业务 Host。
- 使用移动网络访问实际网关端口或业务域名，确认请求日志中出现预期的 Host、客户端 IP 和上游目标。
7991 是管理入口，不能作为业务回源。7998、7997、7996 是内部端口，也不应对公网发布。