# catproxy 访问边界变更

日期：2026-05-26

## 当前结论

- `catproxy.lilifamily.com` 不做 IP 白名单限制，是 3c4g 上可直接访问的主站域名和回滚入口。
- `origin.proxy.api.lilifamily.com` 才是回源专用域名，继续限制 proxy-ng 节点来源 IP，并校验 `X-Proxy-Ng-Token`。
- `proxy.api.lilifamily.com` 仍作为 proxy-ng 公开入口，目前指向 JPpro 节点。

## 已执行变更

- 服务器：`个人-US-racknerd-0526-3c4g`
- 远程配置：`/etc/nginx/sites-available/catproxy-sub2api.conf`
- 备份路径：`/etc/nginx/sites-available/catproxy-sub2api.conf.bak-20260526043650`
- 删除内容：`allow 106.37.220.142` 与 `deny all`
- 保留内容：`origin.proxy.api.lilifamily.com` 的 `allow 151.242.164.72`、`deny all` 和 token 校验

## 验证结果

- `nginx -t` 成功。
- `systemctl reload nginx` 成功。
- `https://catproxy.lilifamily.com/health` 返回 `200`。
- 非白名单来源访问 `https://origin.proxy.api.lilifamily.com/health` 返回 `403`。
- `https://proxy.api.lilifamily.com/health` 经 JPpro 返回 `200`，响应头包含 `X-Proxy-Ng-Node: jppro-akile-0504-1c1g`。

## 后续注意

不要再把 `catproxy.lilifamily.com` 配成管理 IP 白名单入口。后续新增 proxy-ng 节点时，只需要把新节点公网 IP 补到 `origin.proxy.api.lilifamily.com` 的 allowlist，并给节点配置同一个受控 token 文件。