intranet-tunnel 当前只保留服务端 1.1.1、客户端 1.2.1 归档，历史包已清理，旧 docker load 命令会报文件不存在。1.2.1 修复 Web 配置登录后界面无反应，纯客户端，服务端无需升级；1.2.0 新增 Web 配置界面、SQLite 持久化与 init.sh，并修复状态恒为 connecting。Gitea 私有 Release 附件未认证下载返回 404，需带 token 验证。Halo 集成脚本宜跑 NAS，凭据只放 env 且 chmod 600，令牌按最小权限配置，README 默认不搬运，首次默认 draft。

面板自带 DNS-01 有缺陷：把 ACME 授权标识符直接当 DNS 托管主域传给服务商，阿里云报 InvalidDomainName.NoExist，根因是缺少待签域名到托管主域的解析。规避可用 acme.sh 的 dns_ali 做 DNS-01 签发，覆盖 tunnel.sushike.cloud 与 *.t.sushike.cloud，cron 自动续期并触发 nginx 重载，且不要再导入面板以免双重续期。常规申请可在面板选 HTTP-01，需 80 端口公网可达；证书落 ./certs/<域名>/，nginx 已挂载。申请后需 docker compose restart nginx；自动续期后 nginx 不会自动重载，默认仍需手动 restart。

记录在已运行宝塔面板的 Ubuntu 24.04 云服务器（1.5 GiB 内存）上部署 intranet-tunnel 的实测。关键结论：不启 compose 内 nginx，保留宝塔 80/443；改用 *.t.sushike.cloud 避开泛解析和 _acme-challenge 冲突；下调容器内存上限；直接改数据库开启面板外网访问。部署需补挂 certs/backups/logs、chown 10001，证书改用 acme.sh DNS-01 自动续期。新增放行 47800、48081-48100，管理口仅绑本地。最终三容器健康，HTTPS 200、HTTP 301。另含 Workbench CLI 传参、宝塔统计需注册 site.db、nginx 日志三路输出与轮转等踩坑。

部署实测：compose 缺证书与备份挂载，需补齐；绑定目录后须改属主 10001:10001，否则权限报错并无限重启。面板外网访问读 system_settings，需直接改库。阿里云 DNS-01 不可用，改用 acme.sh 避免重复续期。Workbench CLI 误把 - 开头 token 当参数，宜上传脚本执行；upload 有覆盖保护，输出会截断。阿里云 API 签名须按 Ordinal ASCII 排序，否则报不匹配。

边缘配置自动同步让新增隧道域名不再需要手工维护 nginx：泛域内域名共用通配 server 块，新增隧道无需改配置；泛域外自动生成专属 server 块并使用自身证书，使配置规模与隧道数量解耦。服务端只写文件，由容器看门狗或 systemd path unit 校验并 reload，兼容纯 Docker 与宝塔 nginx，宝塔只接管 443 并保留 80 跳转和统计。校验失败会放弃 reload 并把坏配置移出 include 目录，防止后续 nginx 启动失败，故 conf.d 必须可写。证书路径须填 nginx 侧路径，HTTP/2 语法由 EDGE_HTTP2 适配；证书需 DNS-01 申请通配符并自动续期，私钥权限 600 且不入库。