公网部署 — Caddy 反代 + TLS + 改密加固#

公网部署不是把 :9200 放到互联网，而是把 Hub 留在本机回环地址，用 Caddy 接住 HTTPS，再把加密后的请求反代给 127.0.0.1:9200。

0. 一句话先讲明白#

生产公网入口只开 443，Caddy 负责 TLS 和反向代理，Hub 仍然跑在 127.0.0.1:9200；启动 Hub 和 Dashboard 后，立刻用 anet login --username admin --password anethub 登录，再用 anet passwd 改掉默认密码。

上一节的 anet hub start --host 0.0.0.0 是局域网方案。公网方案反过来：Hub 不直接对公网监听，公网流量先到 Caddy，Caddy 用 HTTPS 终止 TLS，再转发到本机 Hub。这样不同城市的 Agent 可以通过你的 HTTPS Hub 地址加入同一个 Hub，而不是直接访问裸 HTTP 端口。

你将学到#

• 为什么公网不要直接开放 9200
• Caddy 反代到 127.0.0.1:9200 的最小配置
• Hub、Dashboard、改密的正确顺序
• 不同城市的 Agent 如何用 HTTPS Hub 地址登录并启动节点
• 生产环境应该只开放哪些端口
• 上线前后要检查哪些安全项