前置端口转发服务
前置入口让客户端通过另一个地址访问已有协议。入口只转发流量，协议握手、认证和用户流量归属仍在父协议所在的落地服务器完成。先确认父协议本身可用，再添加入口。
创建一个入口
打开“节点系统 → 节点协议 → 创建协议服务 → 前置端口转发”，选择部署方式：
| 方式 | 你要准备什么 | 面板负责什么 |
|---|---|---|
| 外部已部署转发 | 已由其他软件或网络配置好的转发地址、端口和父协议 | 登记入口、分配权限、生成订阅；不部署或停止外部转发程序 |
| 面板托管 Zero 转发 | 另一台已受管的入口服务器 A，及落地服务器 B 上的父协议 | 发布 A 的原始端口转发，并管理相关节点配置 |
- 填入口名称，选择父协议，填写客户端入口地址和端口。
- 托管方式还需选择 A、监听端口和到 B 的路径；A 与 B 必须不同。首次可保留“直连落地”。
- 根据实际转发能力选择“仅 TCP”或“TCP 与 UDP”；Hysteria2 需要 UDP。
- 在关联权限组中选择可使用该入口的组，保存。
- 检查父协议及托管入口的发布结果；外部方式还要自行确认外部转发正在运行。
- 让对应用户更新订阅，确认出现入口名称和地址，然后实际连接测试。
权限与订阅
权限组分别选择直接协议与前置入口：
- 只选 A→B 入口：系统为 B 生成这份订阅需要的认证凭据，客户端只收到 A 的地址。
- 同时选 B 直接协议：客户端才会额外收到 B 的直连地址。
- 同一父协议的多个入口可以共用该订阅的父协议凭据，不会因此重复扣流量。
前置订阅保留 B 的 TLS、SNI、REALITY 和传输参数，只替换连接地址与端口。统计栏标为“父协议”的用量可能包含其他入口，不能把它当作这个入口的独占统计。
删除入口或移出权限组会更新凭据和交付范围。只要还有有效入口或直连授权，父协议凭据仍可能保留；最后一个授权移除后才撤回。远端撤权需节点成功发布，离线节点可能暂留旧配置。
升级现有入口
现有托管入口升级后仍是托管模式，不会自动变成外部转发。检查每个权限组的入口成员，避免把旧指南中为补齐凭据而添加的直连权限误当成必须保留。仅需入口时可以不分配直连，但应在修改后验证订阅和父节点发布。
分发权限与连接隔离
不下发 B 的地址不代表从网络上封锁 B。入口是透明转发，父协议仍验证同一凭据；知道落地地址的人可能手动修改客户端连接地址。需要强制仅经入口访问时，还须在网络层单独设计和验证访问限制。
运行方式与兼容
托管转发的 TCP/UDP 端口必须在主机和云防火墙放行，A 到 B 也必须可达。选择“TCP 与 UDP”时，A 与面板校验内核需要声明 direct.inbound.udp.supported=true；只认识配置字段不等于支持 UDP。
“仅 TCP”会关闭入口 UDP。Hysteria2 不能使用该模式；Shadowsocks 的某些原始分享链接不能表达此限制，导入后仍只能使用 TCP。UDP 端口冲突应修复后重试，不能把失败当作自动降级。
外部模式由外部转发程序承担这部分能力与可达性，面板登记成功不是它的健康证明。
可选代理路径
不需要上游代理时直接连接落地即可。需要多个托管入口共用上游时，在“服务器管理 → A 的详情 → 共享代理池”创建池，再在入口的路径设置中选择它。池只供同一台 A 上的入口使用，不会把池的认证秘密下发给用户。
从订阅维护代理池
- 创建池，选择“订阅维护”，填写上游订阅地址。
- 选择格式及客户端标识（User-Agent）。支持 Zero、Clash/Mihomo、sing-box 和节点分享链接（含 Base64）；不能保证导入所有客户端专属扩展。
- 保存并手动同步，核对节点数量、最近成功时间与错误。
- 成功后让入口引用该池，再检查 A 的发布结果和真实链路。
- 需要自动更新时开启自动同步，间隔可设为 5 分钟至 7 天。
同步会完整替换池成员。下载、解析或 Zero 校验失败会保留上次有效配置，不清空当前池。订阅中的路由和 DNS 规则不会作为池配置导入；不支持的传输、混淆或自定义 WebSocket Host 等选项会明确失败。
Clash/sing-box 的 HTTPS 测速地址可能转换为 Zero 默认 HTTP 探测地址 http://www.gstatic.com/generate_204，不代表内核已支持 HTTPS 探测，也不会改写节点本身的 TLS 设置。
手工维护
“原始配置导入”用于已有 Zero 代理配置。url_test 在候选出口中选择，relay 按顺序多跳，两者不同。TCP/UDP 支持取决于整条路径；保存校验通过后仍需实测。
修改池会重新发布 A，影响所有引用它的入口；仍被引用的池不能删除。移除订阅维护会保留当前池配置，但停止后续同步。
停用或删除
托管入口删除后检查 A 的撤除任务；外部入口删除只撤销面板记录和关联授权，需要你自行停止外部转发。父协议及独立授予的直连权限保留。排障时分别核对面板授权、节点发布与真实网络路径。