NexForge 云桥 · nfhubd

家里几台机器上的 nf 各自出站连到这里，你在外面用 nf 也连到这里； 云端按实例名把两边的 TCP 字节**原样**对接。除此之外它什么都不做：

• 不解析、不存储隧道的任何内容（里面是 nf 自己的端到端 TLS）；
• 不持有 nf 的共享 token —— 它拿到的只是「能不能接入」的令牌哈希；
• 只允许拨到被控端自己的远控端口（127.0.0.1:8898），不做通用端口转发。

被控端（家里常驻的机器）：
在 ~/.nexforge/remote.toml 里配好 [remote.cloud] 的 link_token，然后

nf --serve --cloud https://july.nextech.club/nfhub/v1

控制端（你手上的机器）：配好 client_token，然后

/cloud list          # 在 nf 里看有哪些机器在线
nf --cloud-list      # 不进 TUI，直接列出（脚本可用）

令牌只从凭据文件或环境变量读（NF_LINK_TOKEN / NF_CLIENT_TOKEN）， 不从命令行传（命令行会进 shell 历史与进程列表）。

项	做法
云端能看到什么	只有密文与字节数，没有明文、没有 nf 令牌
身份怎么认	nf 之间的自签证书 pin（与局域网接管同一套，端到端不变）
传输	对外只有 HTTPS/WSS（Caddy 终结 TLS）；明文 ws:// 一律拒绝
被控端暴露面	只放行它自己的远控端口；不开放内网其它服务
接入令牌	服务器上只存 SHA-256 哈希（600 root 的 env 文件）

健康检查端点（无需鉴权，只回版本与协议号）：
/nfhub/v1/health