当天继续处理个人云端 Pangolin 入口，在 TCP 80/443 放行后恢复管理站点证书，并解决三个资源域名因 DNS 尚未就绪而签发失败的问题。最终四个入口均取得正式证书，管理登录页和未登录保护响应已验证，Newt 在线状态与内网后端响应也得到确认。运维文档和临时文件清理已完成，登录后的端到端访问及云端 UDP 放行仍缺少完整验收。
本文按北京时间整理 win-0o0ooo 本机保存的 2026-09-25 历史会话，仅记录当天新增工作。
恢复 Pangolin 管理入口的正式证书
在用户告知云端已放行 TCP 80/443 后，从外部主机复测端口与 HTTPS，确认端口可达但仍返回 Traefik 默认自签名证书；随后检查 HTTP-01 配置并重启 Traefik，触发 ACME 重试。管理入口取得 Let’s Encrypt 正式证书，登录页返回 HTTP 200；容器检查显示 Pangolin 健康，Gerbil 与 Traefik 均在运行。
外部证书检查和登录页请求支持管理入口已恢复。当天是在既有部署上恢复证书，不能把此前的容器安装、SSH 配置或 Tailscale 接入计为当天新增成果。
补齐三个内网服务入口的 DNS 与证书
确认 PVE Web、Immich 和 AriaNg 三个资源已存在后，为其创建指向云端入口的 A 记录。后续严格校验证书时发现三个入口仍使用默认自签名证书，遂检查 ACME 日志，定位到申请时域名尚未解析导致的 NXDOMAIN，并在 DNS 生效后再次重启 Traefik。三个资源入口最终均取得 Let’s Encrypt 证书，外部请求在正常证书校验下返回 HTTP 401。DNS 全量查询确认共有 45 条记录，其中管理入口与三个资源入口均指向目标云主机。
最终证书签发者检查和未跳过证书校验的 HTTPS 请求均通过。早期跳过证书校验所得的 401 只能证明入口响应，正式证书恢复以最后一轮检查为准；三个资源当天仅确认已存在，没有新建资源的成功回执。
核验 Newt 连接与后端可达性
通过管理 API 检查 Newt 站点在线状态，结合服务端日志核对 WebSocket 连接和 Gerbil peer 登记，并从内网侧分别请求 PVE、Immich 与 AriaNg 后端；另尝试准备登录后的端到端验证脚本。站点查询返回在线，日志记录了 Newt 建立连接和 peer 登记；三个后端分别返回 HTTP 200、200、401。端到端验证脚本两次写入失败，记录中没有后续成功执行结果。
已验证控制连接、内网后端响应及公网未登录保护，但这些结果不足以证明登录后的完整代理链路可用。云端 UDP 隧道端口是否放行仍未独立确认；既有 Tailscale 连接方式已写入运维说明，不能据此宣称公网 UDP 数据面验收完成。
整理运维记录、回滚说明与部署收尾
在补丁工具多次因沙箱错误失败后，改用文件替换工具更新云主机运维说明、PVE 连接器说明、变更日志和 DNS 清单，补充组件版本、访问关系、凭据文件位置、验收结果与分步骤回滚条件；随后删除临时资源脚本并检查 Git 状态。四份文档的更新均有成功回执并完成回读，防火墙说明也补充了 TCP 已验证与 UDP 待确认的区别。临时脚本删除成功，管理员凭据文件确认存在且匹配 Git 忽略规则，Git 差异检查退出码为 0。
文档更新、临时文件清理和凭据忽略规则已有证据支持，未见提交或推送记录。新增文档把 Newt 安装记在当天，但本日执行记录只证明既有连接恢复与验收，因此不将连接器安装列为当天已执行成果；差异检查也不能替代对未跟踪文档的完整验证。
会话关联与手动续接
以下命令在保存这些会话的 win-0o0ooo 机器上手动执行。项目名称和路径已作公开脱敏；准确目录保留在本机对应月份的工作归档或原会话中。
添加机器文档并配置免密与 Tailscale
项目：个人云服务器与家庭内网服务运维。
会话 ID：=01a0d0f0-f34e-7fa2-a043-44b32bbe8a09= 。
codex resume 01a0d0f0-f34e-7fa2-a043-44b32bbe8a09