把电台接到公网

给这台机器一个真证书的 HTTPS 入口——不要公网 IP，不在路由器上开端口，也不用 DDNS 脚本。

☁️你能拿到什么

一个随处可达、证书是真的地址：

https://<呼号>-legacy.mrrc.vlsc.net/

本产品的标签一律带 -legacy后缀，所以同一个呼号上的 Modern 实例和它不会撞名。隧道从你这台机器主动拨出去：路由器上什么都没开，也不需要公网 IP。

🧭三步

#你做什么说明
1打开 ☁️ 接入云端——主界面的按钮，或移动端菜单里的「☁️ 接入云端」在本机打开 cloud.html
2填呼号，联系方式可选运维会对照呼号库核验
3点【申请入口 / 接入】状态从「已提交申请」走到「已接入」

已经批过、并且拿到登记口令的，把口令填进同一个表单就能直接接入，不必再等一轮。

🔁批准之后会发生什么

不用你再点任何东西：

  1. 这台机器每 30 秒问一次门户「批了吗」；
  2. 批了就自己签一张 <标签>.mrrc.vlsc.net的证书，只把公钥登记到 hub；
  3. 写好隧道配置并起 frpc；
  4. 自己重启一次，让真正在服务的就是这张新证书。

应用会在对话框里报「上次何时问的、结果如何」，所以「批了却没动静」是看得见的，而不是靠猜。

✅怎么判断生效了

探针期望
curl -s -o /dev/null -w '%{http_code}\n' https://<标签>.mrrc.vlsc.net/login200
对一个人人没登记过的名字做同样的事404
curl -I https://<标签>.mrrc.vlsc.net/login405——正常，登录页只接受 GET

证书不对不是「点掉警告继续」：hub 对每一跳都校验上游证书，所以证书名不对的实例在边缘就返回 502，而不是悄悄服务。

🪪呼号规则

呼号会变成一个 DNS 标签，所以 BG1SB/P这类便携写法会被拒绝——登记的是身份，不是某次操作。批准前运维会对照呼号库核验。

⚠️已知的三条边界

  • 换了证书要重启应用。TLS 上下文只在进程启动时建立；之后到的证书，不重启就不会被服务。
  • 隧道客户端版本是钉死的——与 hub 的 frps对齐（写作时为 0.71.0）。客户端比服务端新可能握手失败。
  • 登录限流在隧道下会退化：所有访客看起来都来自回环地址，于是限流共用一个桶（5 次失败 / 5 分钟）。这条已记录并接受；修法是信任 X-Forwarded-For，本产品尚未实现。

📚细节在哪