排障隧道时容易自设陷阱。curl --resolve 指到 127.0.0.1 会绕过公网入口 SNI 并实测 404，应解析到公网 IP；DNS 缓存会让新增 *.tunnel 记录看似未生效，本机仍解析旧阿里云 IP 并返回他站内容，需等缓存过期或强制解析。Portainer CE 响应头易误认成企业站，判断隧道生效应看 X-Proxy-By: intranet-tunnel 或 HTML 中的 Portainer 标识。此外，EnsureTunnelRule/RemoveTunnelRule 无调用点，隧道变更后反代规则不自动更新，访问域名返回内置反代 404，启动日志 rules=0 tunnel_rules=N 可判断；临时调用重载接口或重启 tunnel-server，根治需在 control 包变更处调用。

隧道客户端验证与排障要点：测隧道域名须解析到公网 IP，勿用 --resolve 指向 127.0.0.1，否则绕过 SNI 返回 404；DNS 缓存会造成新记录未生效假象。确认是否经本方案应看 X-Proxy-By: intranet-tunnel，而非仅看状态码或 Portainer 响应头；更严格可用 SHA256 与后端直连比对，动态页面改比响应头。排查可用 logs、print-config、/healthz；tunnels 含服务端下发，可能多于 tunnels.json，persistence:false 多因 data/ 权限。常见故障涉及 Token、连接/证书、502、env_file 需重建、47802 端口绑定及配置持久化。

隧道流量统计恒为0已在v1.0.4修复。根因是1.0.1把公网入口交给内置反代时只搬流量、未搬记账，统计仍只挂在数据面路径。修法是在反代隧道连接上记账，不包ResponseWriter，以覆盖HTTP、SSE、WebSocket，并须共用同一stats.Collector，否则会静默丢弃。验证需访问隧道3次确认增量非0，且未访问隧道仍为0。1.0.1还修复反代规则不自动同步和48080监听冲突，生产compose漂移须回写仓库。