安装与首次进入
这页适合谁
如果你还没开始安装，或者刚装好但还没建立完整心智模型，这一页就是文档起点。
读完后你会明确：
- 安装阶段看到的 4 个端口分别是什么
- 管理后台入口和对外访问入口为什么不是一回事
- 首次进入后台后，应该优先完成哪 3 件事
- 接下来应该走直连路线还是反代路线
安装前先理解 4 个默认端口
敲门 knock 默认使用 4 个端口：
| 端口 | 作用 | 你是否通常需要手动访问 |
|---|---|---|
7998 | 管理后台 Web 入口 | 通常不需要，桌面图标会带你进入 |
7997 | 认证服务端口 | 一般不直接访问 |
7996 | Go 管理 API 端口 | 一般不直接访问，仅本机管理逻辑使用 |
7999 | 统一访问入口 | 需要重点关注，对外访问最终都会经过它 |
安装阶段最重要的规则只有一个：
这 4 个端口必须互不重复。
如果没有端口冲突，建议先保留默认值。这样后续看文档、排错和对照页面提示都更轻松。
安装前建议做的两件事
1. 先决定是否保留默认端口
如果你还不知道自己后面要不要接 FRP、Cloudflared、DDNS 或证书，最稳妥的做法仍然是：
- 先保留默认端口
- 等基础链路跑通后，再按需要调整
2. 提前准备一个 TOTP 身份验证器 App
首次进入后台后的引导流程里，认证配置是必须完成的关键步骤之一。建议你在安装前就先在手机上装好至少一个身份验证器。
可直接参考：
安装步骤
- 在飞牛中安装
敲门 knock - 在安装向导中确认或修改 4 个端口
- 完成安装
- 回到飞牛桌面，找到
敲门 knock图标
首次进入后台
进入方式：
- 打开飞牛桌面
- 点击
敲门 knock图标 - 进入管理后台
这里有一个非常容易混淆的点：
- 桌面图标进入的是“管理后台”
- 不是外部用户真正访问服务时会经过的公网入口
真正的统一访问入口，默认是 7999。
如果打开图标后看到 Redis 服务未就绪
这通常不是前端页面坏了，而是当前机器上还没有可用的本机 Redis。
fn-knock 需要：
- 连接
127.0.0.1:6379 - Redis 保持无密码
处理完成后，再回到飞牛的应用管理里重新启用 敲门 knock。
更具体的排查方式见：
首次进入后，系统会引导你完成什么
首次使用时最值得优先完成的 3 件事是：
- 选择运行模式
- 绑定 TOTP 令牌
- 配置 SSL 证书
第 1 步：选择运行模式
你会在后台看到三种主要运行模式：
子域模式当前最推荐优先评估，适合有公网入口和域名，希望每个 Web 服务都拥有独立子域的场景反代模式适合没有公网 IP、要走 FRP / Cloudflared，或要把多个服务统一挂到同一个入口的场景直连模式不推荐作为新部署首选，只适合确实需要“先登录，再放行当前 IP 去访问原始端口”的场景
如果你现在拿不准，先看：
第 2 步：绑定 TOTP
这是管理员登录的基础凭据。推荐流程：
- 点击
绑定新令牌 - 用身份验证器 App 扫描二维码
- 输入 6 位验证码完成验证
- 给设备命名，例如
我的 iPhone - 保存
建议至少准备：
- 1 台常用手机
- 1 台备用设备或备用方案
详细说明见：
第 3 步：配置 SSL
SSL 不是所有场景都必须在第一个小时就做到最完整，但它确实应该尽早规划。
你可以按自己的情况选择：
- 已有正式证书：直接上传
- 暂时只想先跑通 HTTPS：用自签证书
- 有域名并想自动续期：用 ACME 证书
详细说明见：
初次部署最常见的误解
误解一：后台能打开，就等于公网链路已经完成
不是。
后台能打开，只说明：
- 安装成功
- 管理后台可用
公网链路能不能用，还取决于：
- 当前运行模式
7999的对外暴露方式- 证书
- 映射
- DDNS
- FRP / Cloudflared
误解二：TOTP 以后再说
不建议。
因为认证是整套访问控制的基础能力。如果你把证书、DDNS、隧道都弄好了，却还没准备好可用的管理员登录凭据，后面很容易卡在最关键的一步。
误解三：证书只有上公网时才有意义
并不完全是这样。即便是内网或测试阶段，HTTPS 也有两个明显价值：
- 浏览器体验更稳定
- Passkey 这类更现代的认证方式更容易正常工作
安装完成后，下一步该读什么
推荐继续按这个顺序走：
- 端口、入口与访问路径
- 直连模式、反代模式与子域模式
- 再根据你的场景继续：