当天完成两台 ARM 云主机的六来源 SSH 接入和 Tailscale 入网，并整理了运维文档、访问拓扑与可复用接入技能。随后部署 Pangolin，完成管理员初始化、内网站点和三个资源记录的创建，并在 PVE 上启动 Newt。最后排查确认连接器受证书名称不匹配阻塞，站点仍离线，资源访问及公网链路尚未完成验收。
本文按北京时间整理 win-0o0ooo 本机保存的 2026-09-24 历史会话，仅记录当天新增工作。
两台 ARM 云主机的多来源 SSH 接入
为两台 Ubuntu 24.04 ARM 云主机配置来源独立的 Ed25519 密钥，备份目标授权文件，并逐步接入五台既有机器及 PVE。过程中修正了多层 shell 转义导致的密钥生成和脚本传输问题。六个来源到两台目标的密钥接入均已完成；早先未能接入的 PVE 随后补齐，两台目标也核对到了对应公钥。
五个来源通过指定唯一密钥、禁用密码回退的真实认证；PVE 后续连接测试成功，第二台目标的测试明确返回退出码 0。
Tailscale 入网与管理通道验收
为两台云主机安装 Tailscale 1.102.4，在完成登录授权后检查后台状态、开机启动及网络偏好，并从既有跳板通过覆盖网络测试 SSH。两台主机均由等待登录转为 Running，获得覆盖网络地址；服务处于 active、enabled 状态，未启用接管 DNS、出口节点或 Tailscale SSH。
两次覆盖网络 SSH 测试分别返回成功标记和退出码 0。该通道后来也用于公网 SSH 超时时的恢复访问。
主机文档、SSH 拓扑与接入技能沉淀
新增两台云主机的运维文档及 SSH 访问拓扑，更新相关机器说明，并将独立密钥、授权备份、多层远程执行和 Tailscale 验收流程整理为仓库技能。形成了两份主机运维文档、访问拓扑和多主机 SSH 接入技能，并补充 PVE 接入及 Tailscale 最终状态。
技能结构校验返回有效，文档差异检查通过；最终仓库状态显示新增文件仍未跟踪，没有提交或推送完成的证据。
Pangolin 控制端部署与管理员初始化
选择其中一台 ARM 云主机部署 Pangolin，创建控制端 DNS 记录，在备份后调整主机持久化防火墙规则，并安装容器组件。管理员初始化遇到引号和连接问题后，改经 Tailscale 通道核验状态。Pangolin 1.23.0、Gerbil 1.5.1 和 Traefik 3.7 已启动，Pangolin 健康检查通过；管理员初始化最终完成，凭据保存并同步到本地。
初始化检查接口明确返回 complete=true，凭据状态显示密码已保存。公网 TCP 80/443 的外部探测仍受阻，控制端内部访问成功不能视为公网入口已可用。
内网站点、Newt 连接器与三个资源入口
核对当前版本 API 后创建组织和内网站点，在 PVE 上安装 Newt systemd 服务，并创建虚拟化管理、照片管理和下载管理三个资源。部署中补同步了缺失的站点凭据，并修正资源脚本对 YAML 缩进的解析。组织与站点创建成功，Newt 1.17.0 安装并启动，三个资源记录及后端绑定均已建立。
资源创建脚本最终退出码为 0，但同时返回 SITE_STATUS=false。Newt 进程运行只证明服务启动，尚未证明隧道注册成功；三个资源的 DNS、实际转发和端到端访问均未完成验收。
Newt 离线的 TLS 证书排查
针对站点持续离线检查 Newt 服务日志、控制端解析和 HTTPS 响应，随后读取容器编排及 Traefik 配置，调查证书链路。日志明确显示 Newt 请求认证令牌时遭遇 x509 证书名称不匹配：控制端提供的是 Traefik 默认域名证书，连接器因此持续重试。解析结果同时表明访问走的是 Tailscale 地址。
证书名称不匹配是已证实的直接阻塞；云侧端口阻断影响证书签发是当时的诊断判断。专用受信任证书方案仅被提出，最后记录停在配置检查，未见修复、站点上线或访问验收成功；云侧端口调整和 Pangolin 运维交接文档也尚未完成。
会话关联与手动续接
以下命令在保存这些会话的 win-0o0ooo 机器上手动执行。项目名称和路径已作公开脱敏；准确目录保留在本机对应月份的工作归档或原会话中。
添加机器文档并配置 SSH 免密与 Tailscale
项目：个人自托管基础设施与云主机运维。
会话 ID：=01a0d0f0-f34e-7fa2-a043-44b32bbe8a09= 。
codex resume 01a0d0f0-f34e-7fa2-a043-44b32bbe8a09