feat: 部署 Komari Lite 服务器监控（status.lzwlab.cn）

CHANGELOG.md

@@ -17,6 +17,9 @@
 - 上传时可按 1 小时～30 天设置文件有效期（默认 7 天），过期文件由 systemd 定时器每 10 分钟自动删除。
 - 新增应用源码目录 transfer/ （Flask + gunicorn + SQLite）与幂等部署脚本 deploy_transfer.py 。
 - 新增 systemd 单元 lzwlab-transfer.service 与 lzwlab-transfer-cleanup.{service,timer} 。
+- 新增 Komari Lite 服务器监控（https://status.lzwlab.cn/）：Docker Compose 部署 nuomiiiii/komari 分支（镜像 ghcr.io/nuomiiiii/komari，服务端 2.2.3），与上游 komari-monitor/komari 是两个不同的工具。
+- 新增 komari/docker-compose.yml 与 lzwlab.status.nginx.conf ：容器仅监听 127.0.0.1:25774，nginx 反代含 /api/rpc2 独立长连接与 WebSocket 配置，证书由 certbot（webroot）签发。
+- setup.md 新增第 11 节：Komari Lite 部署过程、反代配置、DNS/证书自动收尾与验证结果。
 
 ### Changed
 
@@ -26,10 +29,16 @@
 - 更新首页 index.html ：欢迎卡片下方增加文件快传入口链接。
 - 更新 lzwlab.nginx.conf ：新增 /transfer/ 反向代理到本机 8090 端口，上传/下载超时调整为 3600 秒，上传体积上限 5120 MB。
 - 更新 README.md 与 setup.md ：补充 RustDesk 自建服务器部署记录与客户端配置说明。
+- 更新首页 index.html ：欢迎卡片新增“📊 服务器状态”入口（https://status.lzwlab.cn/）。
+- 更新 README.md 与 setup.md ：补充 Komari Lite 服务器监控部署记录与使用说明。
 
 ### Removed
 
-- 移除首页欢迎卡中的“网站搭建成功！这是部署在个人云服务器上的第一个页面。”提示信息，首页仅保留标题、Powered by Nginx 徽标与“文件快传”“Git 服务”两个入口链接。
+- 移除首页欢迎卡中的“网站搭建成功！这是部署在个人云服务器上的第一个页面。”提示信息，首页仅保留标题、Powered by Nginx 徽标与“文件快传”“Git 服务”“服务器状态”三个入口链接。
+
+### Fixed
+
+- 修正监控工具选型：将误准备的上游 Komari（ghcr.io/komari-monitor/komari）镜像与配置替换为 Komari Lite（ghcr.io/nuomiiiii/komari），服务器上误拉的上游镜像已删除。
 
 ### Security
 
@@ -38,6 +47,7 @@
 - RustDesk 服务使用 hbbs 首次启动自动生成的自建密钥（服务器 /opt/rustdesk/data/id_ed25519.pub），客户端必须配置该 Key 才能连接服务器。
 - 应用登录密码仅以 scrypt 哈希保存在 /etc/lzwlab-transfer/config.json （root:lzwlab 640），不在代码或仓库中保存明文。
 - 会话 Cookie 启用 Secure/HttpOnly/SameSite=Lax，登录接口按 IP 限流，写接口校验 X-Requested-With 头。
+- Komari Lite 容器端口只绑定 127.0.0.1，公网仅经 nginx HTTPS 访问 status.lzwlab.cn；面板管理员账号在首次打开时创建，凭据仅记录于 Authentication.md。
 
 ## [1.0.0] - 2026-08-24
 

README.md

@@ -1,15 +1,16 @@
 # lzwlab.cn 站点部署仓库
 
-lzwlab.cn 个人云服务器上的站点部署项目：包含站点欢迎页、nginx 站点配置、TLS 证书、远程运维脚本，以及从首页链接进入的“文件快传”在线文件暂存工具。上线效果：http 请求自动 301 跳转到 https，`https://lzwlab.cn` 与 `https://www.lzwlab.cn` 均正常展示欢迎页，`https://lzwlab.cn/transfer/` 提供登录鉴权的文件上传/下载服务。服务器上还以 Docker 部署了 RustDesk 自建远程桌面服务（hbbs/hbbr，客户端以域名 `lzwlab.cn` 接入）与 Gitea Git 服务（入口 `https://lzwlab.cn/git/`，首页提供“🐙 进入 Git 服务”按钮）。
+lzwlab.cn 个人云服务器上的站点部署项目：包含站点欢迎页、nginx 站点配置、TLS 证书、远程运维脚本，以及从首页链接进入的“文件快传”在线文件暂存工具。上线效果：http 请求自动 301 跳转到 https，`https://lzwlab.cn` 与 `https://www.lzwlab.cn` 均正常展示欢迎页，`https://lzwlab.cn/transfer/` 提供登录鉴权的文件上传/下载服务。服务器上还以 Docker 部署了 RustDesk 自建远程桌面服务（hbbs/hbbr，客户端以域名 `lzwlab.cn` 接入）、Gitea Git 服务（入口 `https://lzwlab.cn/git/`，首页提供“🐙 进入 Git 服务”按钮）与 Komari Lite 服务器监控面板（入口 `https://status.lzwlab.cn/`，首页提供“📊 服务器状态”按钮）。
 
 ## 功能特性
 
-- 静态欢迎页：`index.html`，响应式渐变卡片，中文标题“欢迎访问 lzwlab.cn”，并提供“📦 进入文件快传”“🐙 进入 Git 服务”两个入口。
+- 静态欢迎页：`index.html`，响应式渐变卡片，中文标题“欢迎访问 lzwlab.cn”，并提供“📦 进入文件快传”“🐙 进入 Git 服务”“📊 服务器状态”三个入口。
 - HTTPS 全站：`lzwlab.nginx.conf` 将 80 端口请求 301 跳转到 443；443 端口启用 TLS 1.2/1.3 与 HTTP/2，证书链由 TrustAsia 签发。
 - 文件快传（`/transfer/`）：指定用户登录后才能使用，PC/手机自适应；支持多文件上传与下载进度、有效期设置（默认 7 天，最短 1 小时，最长 30 天）、缓存列表与手动删除；过期文件由 systemd 定时器每 10 分钟自动清理。
 - 远程运维脚本：`remote.py` 基于 Paramiko，支持执行远程命令（可 sudo）与上传文件，凭据自动从 `Authentication.md` 解析，无需在命令行传密码。
 - RustDesk 自建服务器：Docker Compose 部署 hbbs（ID/注册服务器）+ hbbr（中继服务器），host 网络监听 21115-21119，客户端以域名 `lzwlab.cn` 接入，客户端配置说明见 [setup.md](setup.md) 第 9 节。
 - Gitea Git 服务（`https://lzwlab.cn/git/`）：Docker 部署 Gitea 1.27.2（SQLite），管理员私有单实例，关闭开放注册；支持 HTTPS 克隆与 SSH 克隆（端口 2222），部署记录见 [setup.md](setup.md) 第 10 节。
+- Komari Lite 服务器监控（`https://status.lzwlab.cn/`）：Docker 部署 [nuomiiiii/komari](https://github.com/nuomiiiii/komari) 分支（注意与上游 komari-monitor/komari 不同，镜像为 `ghcr.io/nuomiiiii/komari`），容器仅监听 127.0.0.1:25774，由 nginx 反代并启用 WebSocket；部署记录见 [setup.md](setup.md) 第 11 节。
 - 完整部署记录：`setup.md` 覆盖从环境检查、安装 nginx、上传站点、HTTPS 配置到验证的全过程，并附踩坑记录。
 - 文档维护技能：`.dsh/skills/maintain-docs/`，用于在项目修改后自动更新本 README 与 CHANGELOG.md。
 
@@ -20,6 +21,7 @@ lzwlab.cn 个人云服务器上的站点部署项目：包含站点欢迎页、n
 ├── Authentication.md          # 服务器凭据（机密，勿公开/勿提交）
 ├── index.html                 # 站点欢迎页
 ├── lzwlab.nginx.conf          # nginx 站点配置（HTTP→HTTPS、TLS、HTTP/2）
+├── lzwlab.status.nginx.conf   # status.lzwlab.cn 站点配置（Komari Lite 反代、WebSocket）
 ├── lzwlab.cn_nginx/           # TLS 证书与私钥（私钥勿公开/勿提交）
 │   ├── lzwlab.cn.csr
 │   ├── lzwlab.cn.key
@@ -41,6 +43,8 @@ lzwlab.cn 个人云服务器上的站点部署项目：包含站点欢迎页、n
 │   └── docker-compose.yml
 ├── gitea/                     # Gitea Git 服务 Compose 配置（容器 gitea，SQLite）
 │   └── docker-compose.yml
+├── komari/                    # Komari Lite 服务器监控 Compose 配置（容器 komari，ghcr.io/nuomiiiii/komari）
+│   └── docker-compose.yml
 ├── setup.md                   # 完整部署记录
 └── .dsh/skills/maintain-docs/ # 文档维护技能（README/CHANGELOG）
     └── SKILL.md
@@ -50,8 +54,8 @@ lzwlab.cn 个人云服务器上的站点部署项目：包含站点欢迎页、n
 
 - 本地（运维机）：Python 3 + Paramiko（`pip install paramiko`）。
 - 服务器：Ubuntu 24.04 LTS、nginx 1.24（systemd 管理）、Python 3.12、Flask 3.0.2 与 gunicorn 20.1（apt 安装）。
-- 服务器：Docker 29.1.3（apt docker.io + docker-compose-v2，已配置 daocloud 镜像加速）运行 RustDesk hbbs/hbbr 与 Gitea Git 服务。
-- 域名 `lzwlab.cn` / `www.lzwlab.cn` 的 DNS 已解析到服务器。
+- 服务器：Docker 29.1.3（apt docker.io + docker-compose-v2，已配置 daocloud 镜像加速）运行 RustDesk hbbs/hbbr、Gitea Git 服务与 Komari Lite 监控面板。
+- 域名 `lzwlab.cn` / `www.lzwlab.cn` 的 DNS 已解析到服务器；`status.lzwlab.cn` 需先在 DNSPod 添加 A 记录（Komari Lite 公网入口与证书签发的前提，见 [setup.md](setup.md) 第 11.5 节）。
 
 ## 安装
 
@@ -85,6 +89,7 @@ LZWLAB_APP_PASSWORD='$PASS' python deploy_transfer.py --username admin
 curl -s -o /dev/null -w "%{http_code}\n" https://lzwlab.cn/            # 200
 curl -s -o /dev/null -w "%{http_code}\n" https://lzwlab.cn/transfer/   # 200（登录页）
 curl -s -o /dev/null -w "%{http_code}\n" https://lzwlab.cn/git/        # 200（Git 服务登录页）
+curl -s -o /dev/null -w "%{http_code}\n" https://status.lzwlab.cn/      # 200（Komari Lite 面板）
 ```
 
 ## 部署说明
@@ -97,6 +102,7 @@ curl -s -o /dev/null -w "%{http_code}\n" https://lzwlab.cn/git/        # 200（G
 - 文件快传：应用代码安装到 `/opt/lzwlab-transfer`，数据目录 `/var/lib/lzwlab-transfer`，配置 `/etc/lzwlab-transfer/config.json`（root:lzwlab 640）；gunicorn 监听 `127.0.0.1:8090`，由 nginx 将 `/transfer/` 反向代理到该端口，systemd 定时器每 10 分钟执行一次过期清理。
 - RustDesk：Compose 文件安装在 `/opt/rustdesk`（hbbs+hbbr，host 网络，数据目录 `/opt/rustdesk/data`）；客户端 ID 服务器/中继/Key 配置见 [setup.md](setup.md) 第 9 节。
 - Gitea：Compose 文件安装在 `/opt/gitea`（容器 `gitea`，SQLite 数据卷 `/opt/gitea/gitea`，Web 仅监听 `127.0.0.1:3000`，SSH 映射 `2222→22`）；nginx 按 Gitea 官方 sub-path 方案将 `/git/` 反代到 3000 端口；管理员账号与密码记录在 `Authentication.md`，注册已关闭、安装器已锁定。详见 [setup.md](setup.md) 第 10 节。
+- Komari Lite：Compose 文件安装在 `/opt/komari`（容器 `komari`，镜像 `ghcr.io/nuomiiiii/komari:latest`，仅监听 `127.0.0.1:25774`，数据卷 `/opt/komari/data`）；nginx 站点 `status.lzwlab.cn` 反代到 25774（含 `/api/rpc2` 独立长连接与 WebSocket 配置），证书由 certbot 签发。首次打开面板需按初始化页创建管理员账号，详见 [setup.md](setup.md) 第 11 节。
 
 ## 安全与凭据说明
 
@@ -108,6 +114,7 @@ curl -s -o /dev/null -w "%{http_code}\n" https://lzwlab.cn/git/        # 200（G
 - RustDesk 使用 hbbs 首次启动自动生成的自建密钥（服务器 `/opt/rustdesk/data/id_ed25519.pub`），客户端必须配置该 Key 才能连接；Key 需分发给每个客户端使用，本身不属于机密凭据。
 - Gitea 关闭开放注册并锁定安装器；管理员密码只记录在 `Authentication.md`，对外文档一律用 `$PASS` 代替。
 - Gitea SSH 克隆端口为 2222，需在腾讯云安全组放行 TCP 2222 后才能从公网使用；HTTPS 克隆与网页访问不受影响。
+- Komari Lite 容器端口只绑定 127.0.0.1，公网仅经 nginx HTTPS 访问 `status.lzwlab.cn`；面板管理员账号在首次打开时按初始化页创建，凭据只记录在 `Authentication.md`。
 
 ## 参考资料
 
@@ -117,5 +124,8 @@ curl -s -o /dev/null -w "%{http_code}\n" https://lzwlab.cn/git/        # 200（G
 - [deploy_transfer.py](deploy_transfer.py)：文件快传部署脚本
 - [rustdesk/docker-compose.yml](rustdesk/docker-compose.yml)：RustDesk 自建服务器 Compose 配置
 - [gitea/docker-compose.yml](gitea/docker-compose.yml)：Gitea Git 服务 Compose 配置
+- [komari/docker-compose.yml](komari/docker-compose.yml)：Komari Lite 服务器监控 Compose 配置
+- [lzwlab.status.nginx.conf](lzwlab.status.nginx.conf)：status.lzwlab.cn nginx 反代配置
+- [Komari Lite 文档](https://lite.komari.wiki/)：快速开始与 [Docker 部署](https://lite.komari.wiki/install/docker)、[反向代理](https://lite.komari.wiki/security/reverse-proxy) 参考
 - [Gitea 官方文档](https://docs.gitea.com/)：安装与反向代理（sub-path）参考
 - [transfer/](transfer/)：文件快传应用源码

index.html

@@ -61,6 +61,8 @@
     <a class="tool-link" href="/transfer/">📦 进入文件快传</a>
     <br>
     <a class="tool-link" href="/git/">🐙 进入 Git 服务</a>
+    <br>
+    <a class="tool-link" href="https://status.lzwlab.cn/">📊 服务器状态</a>
   </div>
 </body>
 </html>

komari/docker-compose.yml

@@ -0,0 +1,14 @@
+# Komari Lite 服务器监控（nuomiiiii/komari，不是上游 komari-monitor/komari）
+# 参考 https://lite.komari.wiki/guide/start 与 https://lite.komari.wiki/install/docker
+services:
+  komari:
+    image: ghcr.io/nuomiiiii/komari:latest
+    container_name: komari
+    restart: unless-stopped
+    volumes:
+      - ./data:/app/data
+      - /etc/timezone:/etc/timezone:ro
+      - /etc/localtime:/etc/localtime:ro
+    ports:
+      # Web 仅监听本机 127.0.0.1:25774，由 nginx 通过 https://status.lzwlab.cn/ 反代
+      - "127.0.0.1:25774:25774"

lzwlab.status.nginx.conf

@@ -0,0 +1,63 @@
+# Komari Lite 服务器监控：https://status.lzwlab.cn/
+# 反代本机 127.0.0.1:25774（Docker 容器 komari，镜像 ghcr.io/nuomiiiii/komari）
+# 注意：Komari Lite 是 nuomiiiii/komari 分支，不是上游 komari-monitor/komari
+# 参考 https://lite.komari.wiki/guide/start 与 https://lite.komari.wiki/security/reverse-proxy
+
+# HTTP：仅用于 certbot http-01 挑战，其余 301 到 HTTPS
+server {
+    listen 80;
+    listen [::]:80;
+    server_name status.lzwlab.cn;
+
+    location /.well-known/acme-challenge/ {
+        root /var/www/certbot;
+    }
+    return 301 https://$host$request_uri;
+}
+
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name status.lzwlab.cn;
+
+    # 由 certbot 为 status.lzwlab.cn 签发（DNS 解析生效后执行 certbot）
+    ssl_certificate     /etc/letsencrypt/live/status.lzwlab.cn/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/status.lzwlab.cn/privkey.pem;
+
+    ssl_protocols TLSv1.2 TLSv1.3;
+    ssl_session_cache shared:SSL:10m;
+    ssl_session_timeout 10m;
+
+    location / {
+        # HEAD 探测直接返回 204，避免被代理策略误判
+        if ($request_method = HEAD) {
+            return 204;
+        }
+        proxy_pass http://127.0.0.1:25774;
+        proxy_set_header Host $http_host;
+        proxy_set_header X-Real-IP $remote_addr;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+        proxy_http_version 1.1;
+        # WebSocket（远程终端/实时数据）必须保留 Upgrade 头
+        proxy_set_header Upgrade $http_upgrade;
+        proxy_set_header Connection "upgrade";
+        # 禁用代理缓冲，实时数据即时推送
+        proxy_buffering off;
+        proxy_request_buffering off;
+        client_max_body_size 50M;
+    }
+
+    # Agent RPC2：独立长连接超时与 Origin，避免状态连接被普通页面策略提前断开
+    location ^~ /api/rpc2 {
+        proxy_pass http://127.0.0.1:25774;
+        proxy_http_version 1.1;
+        proxy_set_header Host $http_host;
+        proxy_set_header Origin $scheme://$http_host;
+        proxy_set_header Upgrade $http_upgrade;
+        proxy_set_header Connection "upgrade";
+        proxy_read_timeout 3600s;
+        proxy_send_timeout 3600s;
+        proxy_buffering off;
+    }
+}

setup.md

@@ -495,6 +495,115 @@ sudo docker exec -u git gitea gitea admin user list             # 用户列表
 - Gitea 子路径部署必须同时满足两点：`ROOT_URL` 带 `/git/` 后缀，且 nginx 使用官方 rewrite 方案剥离前缀（直接 `proxy_pass http://127.0.0.1:3000/;` 会破坏前缀与 `%2F` 转义）。
 - 镜像使用官方新仓库 `docker.gitea.com/gitea:1.27.2`（腾讯云可直连，无需镜像加速）；若改用 Docker Hub 的 `gitea/gitea` 则会走 daocloud 加速。
 
+
+## 11. 部署 Komari Lite 服务器监控（https://status.lzwlab.cn/）
+
+### 11.1 方案与要点
+
+- 组件：**Komari Lite**（GitHub [nuomiiiii/komari](https://github.com/nuomiiiii/komari) 分支）。⚠️ 它与上游 **Komari**（komari-monitor/komari）是两个不同的工具：镜像、文档站点与 Agent 下载源都不同，不能混用。Lite 镜像为 `ghcr.io/nuomiiiii/komari:latest`，文档站 https://lite.komari.wiki/ ，配套 Agent 为 nuomiiiii/komari-agent。本次部署版本：服务端 2.2.3（构建码 0huo552）。
+- 部署方式：Docker Compose（服务器已有 Docker 29.1.3 + compose-v2），容器名 `komari`，数据卷 `/opt/komari/data`，Web 端口只绑定 `127.0.0.1:25774`。
+- 入口：`https://status.lzwlab.cn/`（首页欢迎页“📊 服务器状态”按钮），nginx 反代到 25774 并保留 WebSocket；证书由 certbot 签发。
+- 参考文档：https://lite.komari.wiki/guide/start 、https://lite.komari.wiki/install/docker 、https://lite.komari.wiki/security/reverse-proxy 。
+
+### 11.2 踩坑：Komari 与 Komari Lite 不是同一个工具
+
+- 先前准备工作误用了上游镜像 `ghcr.io/komari-monitor/komari`（文档站 komari.wiki）。Komari Lite 是独立分支：镜像 `ghcr.io/nuomiiiii/komari`、文档站 lite.komari.wiki、Agent 下载源 nuomiiiii/komari-agent，数据库迁移与后台功能均以 Lite 分支为准。
+- 腾讯云直连 ghcr.io 拉取镜像层会卡住（仅完成 manifest 阶段），改用 NJU 镜像站秒下：
+
+```bash
+sudo docker pull ghcr.nju.edu.cn/nuomiiiii/komari:latest
+sudo docker tag ghcr.nju.edu.cn/nuomiiiii/komari:latest ghcr.io/nuomiiiii/komari:latest
+```
+
+（仓库内 compose 文件保持官方 `ghcr.io/nuomiiiii/komari` 镜像名，便于后续 pull 更新。）
+
+### 11.3 部署命令
+
+Compose 文件为仓库内 `komari/docker-compose.yml`：
+
+```bash
+# 本地：SFTP 上传 komari/docker-compose.yml 到 /tmp
+# 远程：
+sudo cp -a /opt/komari/docker-compose.yml /opt/komari/docker-compose.yml.bak-$(date +%Y%m%d-%H%M%S)
+sudo install -m 644 -o root -g root /tmp/komari-compose.yml /opt/komari/docker-compose.yml
+sudo rm -f /tmp/komari-compose.yml
+sudo docker tag ghcr.nju.edu.cn/nuomiiiii/komari:latest ghcr.io/nuomiiiii/komari:latest
+cd /opt/komari && sudo docker compose up -d
+# 清理误拉的上游镜像
+sudo docker rmi ghcr.nju.edu.cn/komari-monitor/komari:latest
+```
+
+验证结果：
+
+```bash
+sudo docker ps --filter name=komari   # Up，127.0.0.1:25774->25774/tcp
+sudo docker logs --tail 25 komari
+# Komari Monitor 2.2.3 (0huo552)
+# First-run installation guide is available on 0.0.0.0:25774
+curl -s -o /dev/null -w "%{http_code} -> %{redirect_url}\n" http://127.0.0.1:25774/
+# 307 -> /install（首次初始化页，创建管理员账号）
+```
+
+### 11.4 nginx 反代（/etc/nginx/sites-available/status.lzwlab.cn）
+
+配置为仓库内 `lzwlab.status.nginx.conf`，要点（按 Lite 官方反向代理文档）：
+
+- `location /`：HEAD 请求直接返回 204；保留 Upgrade/Connection 头（远程终端、实时数据用 WebSocket）；`proxy_buffering off`、`client_max_body_size 50M`。
+- `location ^~ /api/rpc2`：Agent 状态长连接单独配置（补 Origin 头、读写超时 3600s），避免被普通页面策略提前断开。
+- 80 端口只保留 `/.well-known/acme-challenge/`（certbot webroot 验证，root=/var/www/certbot），其余 301 跳 HTTPS。
+- 443 证书路径指向 `/etc/letsencrypt/live/status.lzwlab.cn/`（certbot 签发后生效）。
+
+安装顺序（证书未签发前不能启用 443 块，否则 `nginx -t` 报证书文件不存在）：
+
+```bash
+# 1) 先只启用 HTTP 挑战块（服务器临时文件 status.lzwlab.cn-http）
+sudo install -m 644 -o root -g root /tmp/status-http.conf /etc/nginx/sites-available/status.lzwlab.cn-http
+sudo ln -sf /etc/nginx/sites-available/status.lzwlab.cn-http /etc/nginx/sites-enabled/status.lzwlab.cn-http
+sudo install -m 644 -o root -g root /tmp/lzwlab-status.conf /etc/nginx/sites-available/status.lzwlab.cn
+sudo nginx -t && sudo systemctl reload nginx
+# 2) 证书签发后（见 11.5 自动收尾脚本）：
+sudo ln -sf /etc/nginx/sites-available/status.lzwlab.cn /etc/nginx/sites-enabled/status.lzwlab.cn
+sudo rm -f /etc/nginx/sites-enabled/status.lzwlab.cn-http
+sudo nginx -t && sudo systemctl reload nginx
+```
+
+### 11.5 DNS 与证书（Let's Encrypt）
+
+`status.lzwlab.cn` 在 DNSPod（腾讯云云解析）上没有解析记录（权威 NXDOMAIN），公网入口与证书签发依赖该记录。处理方式：
+
+1. 在 DNSPod 控制台为 `lzwlab.cn` 添加 A 记录：主机记录 `status`，记录值 `1.15.225.173`。
+2. 服务器上已放置自动收尾脚本 `/tmp/status-watch.sh`（nohup 后台运行，日志 `/tmp/komari-status-watch.log`）：每 45 秒检测一次解析，解析生效后自动执行 certbot（webroot 方式）签发证书 → 启用 443 站点 → 移除临时 HTTP 块 → `nginx -t` + reload → 本机自检。
+
+```bash
+# 手工执行等价命令（脚本超时/失败时用）
+sudo certbot certonly --webroot -w /var/www/certbot -d status.lzwlab.cn \
+  --non-interactive --agree-tos -m admin@lzwlab.cn --keep-until-expiring
+```
+
+证书续期：certbot webroot 方式会随 systemd 定时器自动续期，80 端口挑战块保留在 `status.lzwlab.cn` 站点的 80 server 块中即可。
+
+### 11.6 验证结果（公网）
+
+```bash
+curl -s -o /dev/null -w "%{http_code}\n" https://status.lzwlab.cn/      # 307/200（面板，首次为 /install 初始化页）
+curl -s https://lzwlab.cn/ | grep -o '服务器状态'                          # 服务器状态（首页按钮已生效）
+```
+
+### 11.7 首次使用
+
+1. 打开 `https://status.lzwlab.cn/`，按初始化页创建管理员账号（凭据自行保管，只记录在 `Authentication.md`）。
+2. 登录后在“账户与安全”启用两步验证；“服务器”中添加节点并复制 Agent 安装参数（Agent 使用 nuomiiiii/komari-agent 2.2.0.2）。
+3. 配置数据保留天数、流量限额与重置日；测试通知渠道后启用告警；最后完整备份一次 `/opt/komari/data`。
+
+### 11.8 运维
+
+```bash
+cd /opt/komari && sudo docker compose ps                     # 容器状态
+sudo docker logs -f komari                                   # 日志
+sudo docker pull ghcr.io/nuomiiiii/komari:latest && cd /opt/komari && sudo docker compose up -d   # 升级（必要时走 ghcr.nju.edu.cn 镜像）
+# 备份：面板数据全部在数据卷内，直接备份 /opt/komari/data/ 即可
+```
+
 ## 附：踩坑记录