阶段 A：建隧道（一次性）#

注意 DNS-01 这一步：它不验证端口 80，不要求你有公网 IP，只验证 DNS 权限。 这是没有固定 IP 的家庭宽带能拿到正规证书的唯一途径。

路由名默认是 16 位随机字符，而且不会出现在公开的证书透明度（CT）日志里 —— 意味着没人能通过查 CT 日志反查出你的隧道地址。

1
opentunnel route add 4096
2
# Added route 21992cc9713e5fc5 → 127.0.0.1:4096
3
# https://21992cc9713e5fc5.3f2a91c4.opentunnel.xyz

1
curl -fsSL https://opentunnel.xyz/install | sh
2
brew install anomalyco/tap/opentunnel
3
yay -S opentunnel-bin              # Arch
4
npm install -g opentunnel
5
cargo install opentunnel-cli

阶段 B：手机发一条消息（每次）#

NOTE

最后一步是最舒服的地方：对浏览器来说，它就是访问一个普通的 https 站点。没有证书警告，没有客户端 App，没有 VPN 状态栏。它甚至不知道中间有个隧道。

密码怎么生成#

密码强度必须对得起”这个地址现在挂在公网上”这件事。 别用 123456、别用手机号生日、别用你其他服务复用过的密码。

1
# Linux / macOS / WSL —— openssl 生成，18 字节 = base64 后正好 24 个字符
2
export OPENCODE_SERVER_PASSWORD=$(openssl rand -base64 18)
3

4
# 顺手看一眼长度，确认是 24
5
echo -n "$OPENCODE_SERVER_PASSWORD" | wc -c

18 字节 = 144 bit 熵，base64 编码后是 24 个字符，且没有 = 补位。这个长度刚好能在密码管理器里一眼输完，又足够长到爆破无望。

WARNING

Windows 的 PowerShell 默认没有 openssl.exe（Windows 自带的是 OpenSSH，不是 OpenSSL）。用这个等效实现，长度同样是 24：

1
$b = New-Object byte[] 18
2
[System.Security.Cryptography.RandomNumberGenerator]::Create().GetBytes($b)
3
$env:OPENCODE_SERVER_PASSWORD = [Convert]::ToBase64String($b).TrimEnd('=').Replace('+','-').Replace('/','_')

- 和 _ 的替换是为了避开 + /，这样密码在 URL、配置文件、shell 历史里都不需要转义。

启动#

1
# 只监听 localhost —— 有隧道就够了，不要在局域网里裸奔
2
OPENCODE_SERVER_PASSWORD="$OPENCODE_SERVER_PASSWORD" opencode serve --port 4096 --hostname 127.0.0.1
3

4
# 手机打开那个 https 网址，弹 Basic Auth
5
# 用户名：opencode
6
# 密码：你刚生成的那 24 位

--hostname 保持 127.0.0.1 是个原则性问题：暴露面只留隧道这一个口。你用隧道纯粹是为了穿越 NAT，不是为了让同 Wi-Fi 下的邻居也能连你。

还有一层：--proxy-protocol#

默认情况下你的应用看到的是 loopback 对端，看不到真实来访 IP。OpenTunnel 官方专门写了份 trust-boundary 文档提醒这件事 —— 意思是：

如果你的应用里有任何基于 127.0.0.1 判断”这是本地可信请求”的逻辑，它在隧道后面是失效的。

需要传递真实来访者地址的话，客户端加：

1
opentunnel route add 4096 --proxy-protocol v2

只在你的应用确实支持 PROXY protocol 时才开。 乱开会往应用里塞它不认识的请求头。

为什么是 blind TLS 而不是普通反代#

这本质上是把信任边界画在了正确的地方 —— 中转节点只负责”路由”，不负责”内容”。

它不是什么#

• 不是 VPN。没有全局流量接管，你手机上只有这一个网址是”远程”的。
• 不是端口转发。只支持 HTTP 应用（“任何支持 TLS 的现代浏览器/设备”），不是任意 TCP。
• 不是零配置的安全方案。地址保密性来自不可猜测，不来自鉴权。密码必须设。

TIP

既然是”限时/白嫖性质”的第三方服务，我的取舍是：可以用它做个人开发工具，但不要把生产系统的面板挂在上面。 它本质上是一个公共的流量中转，服务端不做任何端到端的身份认证 —— 信任链完全建立在你那 24 位密码上。