docs+cleanup: mihomo 幽灵引用清理(CLAUDE.md 重写 frp 段/删过时脚本); 设计文档补 2026-07-15 落地修正(锚点迁 ali/家内DNS改DNS Server/smartRoute 注意)

docs/remote-access-frp.html

@@ -51,7 +51,18 @@
 <div class="wrap">
 <a class="back" href="index.html">← 文档索引</a>
 <h1>家庭内网远程访问方案<br>frp 反向隧道 × pangolin × 分流 DNS</h1>
-<p class="sub">2026-07-15 · <span class="tag info">执行中</span> P0–P2 已完成（frps@pangolin1 运行中、hairpin 实测 OK、CF 三条 A 记录已生效）；P3 待跑 <code>scripts/setup-frp-remote.sh</code> · 相关：<a href="public-access.md">Tailscale 公网访问（现状，保留作应急后门）</a></p>
+<p class="sub">2026-07-15 · <span class="tag ok">在外链路已上线</span>（锚点 ali）· 家内直连（P5/P6）待做 · 相关：<a href="public-access.md">Tailscale 公网访问（保留作应急后门）</a></p>
+
+<div class="card" style="border-color:var(--warn)">
+<h3 style="color:var(--warn)">⚠️ 2026-07-15 落地修正（与下文原设计的差异）</h3>
+<ul>
+<li><b>锚点从 pangolin1 迁到 ali（182.92.213.171）</b>：实测发现 sing-box 客户端 auto_route 会把<b>自己服务器的 IP</b>排除出 TUN（内核级防环路，Apple 端 NE excludedRoutes），客户端永远无法经隧道回连 pangolin1——「hairpin 到 VPN 机自身」的原设计不成立。迁 ali 后链路：Mac→隧道→pangolin1 出口→公网→ali:frps←frpc←NAS。限源改用<b>阿里云安全组</b>（业务端口仅允许 103.119.13.48/32），负向测试已验证。frpc 家→北京为纯国内长连接，更稳。</li>
+<li><b>NAS 上 mihomo 已不存在</b>（2026-07-05 随 ec2 退役下线，本文 §6.2 的 mihomo hosts 方案作废）：家内 DNS 覆盖改用<b>群晖 DNS Server 套件</b>（为 nas/git/win.yanmeiai.com 建单主机权威 zone，不劫持父域），待回家后落地。</li>
+<li><b>frpc 用二进制 + systemd</b>（非 docker）：NAS 无出国通道拉不了 Docker Hub 镜像；顺带消除对 Container Manager 的依赖。</li>
+<li><b>smartRoute 暂需关闭</b>：ali 是国内 IP，smartRoute 开着会把它分流成直连、被安全组限源拦截。根治=P6 客户端规则（这几个域名强制走隧道 + 私网结果直连），落地前先关 smartRoute。</li>
+<li>Windows（192.168.3.88）当前不在线（LAN 内 no route），RDP/SSH 转发待它开机即用，无需重配。</li>
+</ul>
+</div>
 
 <div class="lead">
 <b>目标：</b>①在家直连内网、不出外网；②在外<b>开着 pangolin</b> 就能穿透回家（不装第二个 VPN 客户端）；③内外用<b>同一套地址</b>——<code>git.yanmeiai.com</code>（Forgejo）、<code>nas.yanmeiai.com</code>（DSM/Photos）、<code>win.yanmeiai.com</code>（Windows RDP/SSH）。<br>