转发安全

PROXY Protocol 信任来源

在「系统设置 → 安全与 API」填写可信上游代理的 IPv4 / IPv6 CIDR，每行一个。用户规则只控制接受和发送开关，不能自行修改信任网段。

接收开关用于读取上游提供的原始客户端地址；发送开关要求目标服务支持 Proxy Protocol。来源列表留空时，禁止规则接收 Proxy Protocol。

这里配置的是业务转发的 PROXY Protocol 来源。网页 Nginx 的 X-Forwarded-For / X-Forwarded-Proto 信任另由 NEKOPASS_TRUSTED_PROXIES 控制，见 反向代理。

禁止的目标 IP 网段

同一设置页可编辑禁止转发的目标 CIDR。默认包含本机回环、RFC1918 / IPv6 私有地址、链路本地、组播、未指定地址、云 metadata 和其他特殊用途网段。

直转和所有中转出口都会检查域名实际解析后的 IP，已有连接也会按新配置重新检查。转发到内网服务时，由管理员移除或调整对应禁止网段；列表留空允许全部目标。

限制针对用户规则的最终目标，不用于入口连接出口、节点连接主控或管理员配置的 Fallback 网站。

目标 IP 限制使用 v0.15.2 或以上节点。

管理 API 密钥

「系统设置 → 安全与 API → 管理 API 密钥」用于自动化调用管理员接口，不是节点密钥，也不包含在节点安装命令中。生成或更新时只显示一次，撤销或更换后旧值失效。