# 额外可信网段

[English](TRUSTED_NETWORKS.en.md) · [返回局域网指南](../README.md#局域网访问)

> 插件 0.6.0 起提供此电脑端高级设置，不要求 App 使用相同版本或为此同步升级。

默认局域网设置只允许当前所选网卡的 LAN 来源网段。已有受控的路由网络（例如 WireGuard 网段）需要连接时，可明确追加来源 CIDR；这不会自动建立 VPN、路由、IPv6 监听或公网入口。

## 电脑端设置

1. 打开 **移动访问 → 局域网 → 额外可信网段 · 高级**。此入口仅支持由 DSH Mobile 管理的局域网配置；无法读取或不支持时不能保存。
2. 填入你确认可控的 IPv4 / IPv6 CIDR，每行一个，也可用空格或逗号分隔。例如 `10.80.0.0/24` 或 `fd12:3456:789a::/64`；这些只是格式示例，应替换为实际网络。
3. 点击 **保存网段**，然后重启 DSH 生效。保存不会立即中断当前连接，也不会替换已选网卡、监听端口、证书或配对身份。
4. 从该网络检查路由和防火墙，再用正常 HTTPS 配对流程连接。

当前 LAN 网段始终与额外列表合并；切换 Wi-Fi、热点或地址后，默认部分继续跟随已选网卡，明确保存的额外部分保持不变。清空额外列表可回到仅允许当前 LAN 网段，不删除配对设备或远程设置。

CIDR 按直接 TCP 来源地址匹配，不依赖 `X-Forwarded-For`。允许一个来源网段不等于允许所有网络，也不跳过 HTTPS、设备配对、精确 Host / Origin 或 CSRF 检查。只追加实际需要的范围，不要为了排错直接放行整个互联网。

## Windows 防火墙是另一项设置

DSH Mobile 的默认 Windows HTTPS / Discovery 入站规则只允许 `LocalSubnet`。保存额外 CIDR **不会修改或扩大这些规则**；需要由你或系统管理员在 Windows 防火墙中单独允许受控来源访问实际 Mobile HTTPS 端口。

路由网络不一定支持局域网广播发现。发现列表没有电脑时，可使用电脑显示的配对链接或二维码，但路由、防火墙和 HTTPS 入口仍须可达。填写 IPv6 CIDR 也不会自动增加 IPv6 监听。

此设置用于局域网 Gateway 的来源访问范围，不改变外部反向代理的来源 CIDR。自有代理请按[自有 HTTPS 反向代理指南](SELF_HOSTED_ORIGIN.md)配置；不要把局域网 Gateway 或私有 HTTP 后端映射到公网。