IP 允許清單
允許清單保存可存取的來源：單一 IP、CIDR、定期解析的 CNAME，以及依地區產生的 CIDR Group。它既可用於直連模式中的 Host 防火牆放行，也能為登入後 IP 授權及歷史映射規則提供來源資料。
三種來源
| 來源 | 建立者 | 常見用途 |
|---|---|---|
| 手動記錄 | 管理員在 IP 允許清單 中新增 | 固定辦公室出口、可信任 VPN、CIDR、CNAME 或地區 CIDR Group |
| 自動記錄 | 登入成功後的 IP 授權政策 | 暫時授權目前的公網 IP |
| 本機豁免 | 閘道內建判斷，不會顯示為記錄 | Loopback、Private、Link-local 及 CGNAT 來源 |
本機豁免優先於允許清單與登入檢查。此行為無法關閉，也不應將其視為公網存取的安全驗證結果。
手動允許清單
在 IP 允許清單 點選「新增目標」，可以設定：
| 欄位 | 說明 |
|---|---|
| 類型 | 單一 IP、CIDR 網段或網域/CNAME |
| CIDR 來源 | 手動輸入，或依地區選擇 |
| 檢查週期 | 網域解析的重新整理週期，預設 5 分鐘，最短 1 分鐘 |
| 有效期限 | 1 小時、24 小時、7 天或自訂時數；也可永久保存 |
| 備註 | 記錄用途、負責人或複核時間 |
依地區選擇 CIDR 時，會另存為獨立的地區允許清單 Group，不會將所有網段展開至一般允許清單。地區還能依中國電信、中國聯通或中國移動篩選；電信業者篩選需要 CIDR 位址資料庫 0.1.3 或以上版本。
手動記錄適合長期可信任、來源穩定的網路；行動網路、臨時 Wi-Fi 及未知的 NAT 出口不應設為永久。地區允許清單會允許所選地區的大量公網位址，風險明顯高於固定 CIDR。
CNAME 會依系統解析結果更新實際放行範圍；只應使用由自己控制、解析結果可預期的網域。地區與電信業者 CIDR Group 依賴 IP 地理位置資料，適合做粗粒度限縮，不適合作為唯一的高精度身分判斷。電信業者篩選需要 CIDR 位址資料庫 0.1.3 或以上版本；舊版 Service 仍可用於一般地區及自訂 CIDR。
清單會顯示 Target、解析出的 IP、來源、狀態、到期時間、建立時間及備註。網域記錄可執行「立即更新」，備註也能直接修改。刪除記錄或地區 Group 後，如果沒有其他有效記錄涵蓋相同來源，直連防火牆中對應的放行規則就會失效。
手動允許清單也是 要求登入 Host 的獨立放行路徑。不要加入過於寬廣的公網網段，否則該網段內的訪客可能不經 Web 登入就直接進入受保護服務。
自動 IP 授權
登入後的自動記錄由 系統設定 → 工作階段 控制。它可以跟隨工作階段、完全關閉，或使用固定時長。自動記錄可以改善登入後的存取體驗，但不適合取代長期權限規劃。
登出時會清除與該工作階段關聯的自動授權；手動記錄不受影響。
自動記錄會顯示登入憑據或工作階段來源、到期時間及地理位置，方便與有效工作階段交叉核對。刪除自動記錄會撤銷對應 IP 的放行，但不會自動結束瀏覽器工作階段；需要完整撤銷時，請同時刪除工作階段。
與存取政策的關係
| 目前映射設定 | 允許清單的作用 |
|---|---|
| 公開存取（目前的登入優先映射） | 不需要驗證，也不依賴允許清單 |
| 要求登入 | 手動來源授權可獨立放行；自動 IP 授權通常允許相同來源繼續存取，但不會覆蓋已帶有的服務範圍拒絕；沒有可用來源授權時，才檢查工作階段 |
從舊版匯入的 Host 映射可能仍保存「嚴格允許清單」政策。即使關閉 要求登入，它也不一定會變成公開存取，只會檢查有效的來源授權記錄（手動記錄或登入後自動建立）；瀏覽器工作階段 Cookie 本身無法取代來源條件。若啟用登入後自動 IP 授權，完成登入通常會產生自動記錄，並通過這類歷史規則。目前的 Host 編輯介面不提供建立此政策的開關；若要退出該規則，請先記錄完整映射，再透過目前介面重新建立。若嚴格規則必須只允許手動清單，請關閉登入後自動 IP 授權，並核對仍然有效的自動記錄。
在直連模式中的效果
原生飛牛 FPK 與具備 Host 能力的 OpenWrt 部署，可以將有效允許清單同步至 Host 防火牆。Docker 不會管理 Host 防火牆，因此不能依靠允許清單來開放原始連接埠。
通用 Linux、Synology DSM 7 SPK 及 Windows x86_64 同樣不提供 fn-knock Host 防火牆同步。頁面中的記錄仍可參與閘道授權，但無法取代這些平台本身的防火牆。
在直連模式中，公網來源 IP 變更後，存取原始連接埠不會觸發工作階段續接。請先返回閘道入口完成驗證，再重試原始服務連接埠。
疑難排解
新增後仍無法存取
確認記錄尚未過期、網域已解析至目前來源，且 Target Port 確實由 fn-knock 管理。Docker 或其他不支援 Host 防火牆的平台，還須另外檢查 Host 防火牆。
網域允許清單的位址沒有更新
檢視上次檢查時間與解析狀態，執行「立即更新」。檢查 DNS、檢查週期及 CNAME 的 A/AAAA 結果；若只回傳 Private Address 或沒有 Record，就不會得到預期的公網放行結果。
刪除記錄後仍可存取
檢查是否還有重疊的 CIDR、地區 Group、另一筆網域解析記錄、有效工作階段、本機豁免，或 Host 已設為公開存取。