记录在已运行宝塔面板的 Ubuntu 24.04 云服务器（1.5 GiB 内存）上部署 intranet-tunnel 的实测。关键结论：不启 compose 内 nginx，保留宝塔 80/443；改用 *.t.sushike.cloud 避开泛解析和 _acme-challenge 冲突；下调容器内存上限；直接改数据库开启面板外网访问。部署需补挂 certs/backups/logs、chown 10001，证书改用 acme.sh DNS-01 自动续期。新增放行 47800、48081-48100，管理口仅绑本地。最终三容器健康，HTTPS 200、HTTP 301。另含 Workbench CLI 传参、宝塔统计需注册 site.db、nginx 日志三路输出与轮转等踩坑。

系统采用控制面与数据面分离：每客户端一条持久控制连接负责鉴权、心跳与隧道注册，工作连接按需创建或池化；二者复用47800端口，靠首帧区分。HTTPS由Nginx终结，服务端按Host路由明文HTTP，工作连接由客户端主动发起，内网无需开放入站端口；启用yamux后以逻辑流替代新建TCP。控制协议用4字节大端长度加JSON，含登录、隧道下发、工作连接请求和心跳。47800对外，管理入口仅本机代理，TCP隧道池、HTTPS入口和转发范围按需对外。