旧笔记本当监控主机：哪吒监控 Nezha 本机装好，用 cpolar 远程看服务器在线状态

旧笔记本当监控主机哪吒监控 Nezha 本机装好用 cpolar 远程看服务器在线状态上周出门三天回来发现家里那台跑着网盘、下载器和几个小服务的旧笔记本中间重启过一次。不是它坏了是我完全不知道它什么时候断的——没有任何一条通知只有回来翻日志才看见。我需要的其实不复杂一个面板能让我在外面掏出手机几秒钟确认那台机器现在还在线、那几个服务还活着、有没有告警。不需要远程改配置不需要远程执行命令就是看一眼状态。落到工具上选了哪吒监控 Nezha。它是用 Go 写的自托管服务器/网站监控和运维工具官方定位就是轻量、自托管支持 HTTP、TCP、Ping 探针支持 SSL 证书到期提醒、push 告警还有 web terminal。这篇里它负责的就是本机监控面板这一件事。面板装好只跑在内网8008人不在家照样看不了。所以最后再用 cpolar 给面板开一个短时的 HTTPS 地址只暴露面板前台、只做只读查看看完就把隧道关掉。下面的命令、返回、断言都是我在本机真实跑过的。cpolar 那段是短时演示免费套餐的公网地址每次不一样你按自己跑出来的地址来就行。1 哪吒监控 Nezha 是什么这篇里它负责哪一段先把定位说清楚免得把它和云监控 SaaS混起来。Nezha官方仓库github.com/nezhahq/nezha是一个自托管的服务器和网站监控与运维工具Go 编写Apache-2.0 协议官方描述是 Self-hosted, lightweight server and website monitoring and OM tool。它由两个部分组成Dashboard面板你部署在某一台机器上的服务端负责展示数据、发告警、管理监控项。默认监听8008后台管理路径是/dashboard。Agent探针装在被监控机器上的小二进制负责上报系统状态CPU、内存、磁盘、网络、负载和接收监控任务。两者之间通过gRPC 长连接通信。这里有个关键点要先记住Nezha V2 里 Agent 与 Dashboard 通信和面板 HTTP 是共用同一个端口的本文实测版本为 v2.3.13 的 Dashboard 与 v2.3.5 的 Agent。这个特性直接决定了后面 cpolar 章节的安全边界怎么写——不能简单地说只暴露了面板端口所以安全得具体分析。这篇要用到的能力系统状态监控本机 Agent 上报、HTTP 探针监控某个服务是否可访问、Webhook 告警状态变化时回调一个 HTTP 地址、Docker 部署官方脚本支持 Docker 模式。它在这篇里扮演的角色它是看板不是被监控的对象。我把它装在这台旧笔记本上让它同时监控这台机器本身和这台机器上跑的服务。它是被依赖的观察者不是被观察者。还要提前交代两个真实存在的边界这两条都是我在实测里撞出来的第一Nezha 对告警回调地址有内置的 SSRF 防护。我把通知 URL 设成http://127.0.0.1:9099/hook时日志直接报HTTP URL target is not allowed。它拒绝让回调打到私网和回环地址段127.0.0.0/8、10.0.0.0/8、192.168.0.0/16等都在黑名单里。这是个好设计但也意味着本地 mock 测试要走一个公网可达的地址。第二面板写操作有 CSRF 防护。登录后会下发一个nz-csrfcookie任何POST/PATCH/PUT/DELETE都要把它镜像到X-CSRF-Token请求头否则返回ApiErrorForbidden: missing or invalid CSRF token。这一点后面会变成只读访问的天然边界。这篇的演示只在本机装 Dashboard 和 Agent监控对象是本机自己和一个本地 mock 服务不接入任何真实生产主机凭据。你自己落地时把 Agent 按同样方式装到目标机器上就行操作路径完全一样。2 环境准备装好 Docker规划端口先确认本机 Docker 可用docker --version。我这边输出Docker version 29.5.2, build 79eb04c7d8能打印版本号就行。这里说一个 macOS 上的坑如果你的 Docker 是通过 Colima 之类的方式跑的docker compose这个子命令就用不了得用独立的docker-compose。我这里就是这种情况--docker compose version报docker: unknown command,而docker-compose version正常输出Docker Compose version 5.1.4。先跑一下确认你用的是哪个,后面命令按实际替换,别照抄到一半卡住。端口规划Nezha Dashboard 默认监听8008。这篇里只在本机127.0.0.1上绑定它不直接对局域网或公网开放——公网那段留给 cpolar职责清晰本地也不会被同网段随手扫到。另外本地还要开一个9099端口用来跑一个 mock 服务上面对 Nezha 提供/probe探针目标对下接收 webhook 回调。这个纯本地不对外。# 目录结构本文验证目录 topic-20260920-inventory-backfill-b3-001/ ├── docker-compose.yaml ├── nezha-data/ # 面板数据与配置 ├── agent/ # 本机 Agent ├── mock_webhook.py # 本地 mock 探针对象 webhook 接收器 └── verify.sh # 断言脚本3 用 Docker Compose 部署 Dashboard官方安装脚本install.sh支持交互式选择 Docker 安装但脚本会跑sudo、装 systemd 服务、还依赖一堆交互输入不利于复现。我直接把脚本里那份extras/docker-compose.yaml的逻辑手工落成一个最小 compose 文件行为一致、可控性更强。先拉镜像docker pull ghcr.io/nezhahq/nezha:latest官方脚本在国内环境会用阿里云镜像registry.cn-shanghai.aliyuncs.com/naibahq/nezha-dashboard非国内环境用ghcr.io/nezhahq/nezha。我这边用 ghcr 拉取正常。接着写docker-compose.yamlservices: dashboard: image: ghcr.io/nezhahq/nezha:latest container_name: nezha-dashboard restart: unless-stopped volumes: - ./nezha-data:/dashboard/data ports: - 127.0.0.1:8008:8008注意两点。第一端口映射必须写127.0.0.1:8008:8008别写成8008:8008——后者会绑到0.0.0.0等于直接对局域网开放。第二./nezha-data是持久化目录面板的配置和 SQLite 数据库都在里面删容器不删它。在nezha-data/config.yaml里写初始配置脚本也是生成这个东西debug: false listen_port: 8008 language: zh_CN site_name: homelab-monitor install_host: 127.0.0.1:8008 tls: falseinstall_host现在填本机地址就够了它只影响面板里生成的 Agent 安装命令文本。tls: false是因为本机 HTTP 直连如果你前面挂了反代再开 TLS这里对应调整。启动docker-compose up -d如果你环境里docker compose能用就换成docker compose up -d。启动后看日志确认docker logs nezha-dashboard会看到类似输出NEZHA generated new jwt_secret_key; wrote to config.yaml. NEZHA Rotated jwt_secret_key for dashboard version 2.3.13 NEZHA TSDB is disabled (tsdb.data_path not configured) NEZHA Dashboard::START ON :8008看到Dashboard::START ON :8008就算起来了。这里面板第一次启动会自动往 config.yaml 里写一个jwt_secret_key和一个agent_secret_key后者是 Agent 注册用的凭据后面要用到。3.1 校验端口监听与 HTTP 可达先确认端口真的在听docker port nezha-dashboard输出8008/tcp - 127.0.0.1:8008说明映射生效。再校验 HTTPcurl -sI http://127.0.0.1:8008/返回HTTP/1.1 200 OKContent-Type: text/html; charsetutf-8。注意访问后台路径时要带尾斜杠curl -sI http://127.0.0.1:8008/dashboard # HTTP/1.1 301 Moved Permanently # Location: /dashboard/ curl -sI http://127.0.0.1:8008/dashboard/ # HTTP/1.1 200 OK看页面标题确认是它没错curl -s http://127.0.0.1:8008/dashboard/ | grep -o title[^]*/title # title哪吒监控 Nezha Monitoring/title如果 200 但标题不对先检查是不是浏览器代理串了如果直接连不上先docker logs nezha-dashboard看有没有启动报错。4 拿到管理员账号与 Agent 凭据面板首次启动会自动创建管理员账号默认用户名和密码都是admin。官方在文档里明确提示首次登录后立刻改密码。这里我直接用 API 登录拿 token用于后面的命令行断言curl -s -X POST http://127.0.0.1:8008/api/v1/login \ -H Content-Type: application/json \ -d {username:admin,password:admin}返回{success:true,data:{token:eyJhbGciOiJIUzI1NiIs...,expire:2026-09-20T05:39:1608:00}}拿到 token 就能带着它读接口了。顺手验证一下不带凭据会被拒绝curl -s http://127.0.0.1:8008/api/v1/server # {error:ApiErrorUnauthorized}第二个凭据是Agent 注册用的agent_secret_key它在nezha-data/config.yaml里grep agent_secret_key nezha-data/config.yaml # agent_secret_key: j1D7UGxCiGTElBhbo1709DDofrnwhxMb这个 key 相当于 Agent 的通行证。别把它贴到任何公开地方我在本文里展示的是本次临时演示环境的值你的环境请以自己面板里的为准。正式部署时按官方建议在面板里轮换。5 装本机 Agent让面板监控这台机器现在面板是空的。旧笔记本自己就是第一台要监控的机器所以在这台机器上再装一个 Agent让它指向本机 Dashboard。下载对应平台的 Agent我这边是 macOS arm64curl -sL https://github.com/nezhahq/agent/releases/download/v2.3.5/nezha-agent_darwin_arm64.zip -o agent.zip unzip -o agent.zip ./nezha-agent --version # nezha-agent version 2.3.5Agent 的配置写成agent/config.ymlclient_secret: j1D7UGxCiGTElBhbo1709DDofrnwhxMb debug: true disable_command_execute: true disable_force_update: true disable_nat: true insecure_tls: true report_delay: 3 server: 127.0.0.1:8008 tls: false use_ipv6_country_code: false几个字段解释一下都是有意为之client_secret填面板里的agent_secret_key这是注册凭据。server: 127.0.0.1:8008本机自监控直接连本机面板。disable_command_execute: true关掉面板向这个 Agent 下发命令执行的能力。本文只做看状态不需要远程执行关掉更省心。disable_force_update: true避免 Agent 自己去 GitHub 拉更新在受限网络下容易刷失败日志。tls: false本机直连。启动 Agent./nezha-agent -c config.yml日志里出现这行就代表连上了NEZHA Connection to 127.0.0.1:8008 established如果你看到的是上报系统信息失败或反复重连先核对两件事一是client_secret有没有从 config.yaml 里复制全这行容易漏字符二是server地址和面板实际监听端口对不对得上。回到面板查一下主机列表里应该出现了这台机器TOKEN$(curl -s -X POST http://127.0.0.1:8008/api/v1/login \ -H Content-Type: application/json \ -d {username:admin,password:admin} | \ python3 -c import sys,json;print(json.load(sys.stdin)[data][token])) curl -s http://127.0.0.1:8008/api/v1/server -H Authorization: Bearer $TOKEN返回里能看到主机名我这边是topical-tahr、platform: darwin、CPU、内存总量、磁盘总量以及一段实时stateCPU 使用率、内存用量、上下行速率、负载等。看到这些实时数字说明Agent 上报 → 面板展示这条链路通了。5.1 加一条 HTTP 探针监控一个本地服务光看机器在线还不够我还想知道机器上某个服务是不是活着。Nezha 的 HTTP 探针就是干这个的。本地起一个 mock 服务当作被监控对象#!/usr/bin/env python3 本地 mock/probe 返回 200 充当被监控服务/hook 接收 webhook 回调。 import http.server, socketserver, datetime LOG webhook_payloads.log class Handler(http.server.BaseHTTPRequestHandler): def _log(self, body): ts datetime.datetime.now().isoformat(timespecseconds) with open(LOG, a, encodingutf-8) as f: f.write(f[{ts}] {self.command} {self.path}\n{body}\n---\n) def do_GET(self): if self.path.startswith(/probe): self.send_response(200); self.end_headers() self.wfile.write(bprobe ok); return self._log(); self.send_response(200); self.end_headers() def do_POST(self): n int(self.headers.get(Content-Length, 0) or 0) self._log(self.rfile.read(n).decode(utf-8, replace) if n else ) self.send_response(200); self.end_headers() def log_message(self, *a): pass socketserver.TCPServer.allow_reuse_address True with socketserver.TCPServer((127.0.0.1, 9099), Handler) as s: print(mock listening on 127.0.0.1:9099, flushTrue) s.serve_forever()跑起来python3 mock_webhook.py curl -s http://127.0.0.1:9099/probe # probe ok在面板创建一条 HTTP GET 监控。注意这组写操作接口要带X-CSRF-TokenCSRF$(grep nz-csrf cookies.txt | awk {print $7}) curl -s -b cookies.txt -X POST http://127.0.0.1:8008/api/v1/service \ -H X-CSRF-Token: $CSRF -H Content-Type: application/json \ -d {name:local-probe,target:http://127.0.0.1:9099/probe,type:1,duration:5,notify:true,notification_group_id:1,cover:0,display_index:1} # {success:true,data:1}这里type:1就是 HTTP GETduration:5表示每 5 秒探测一次notify:true表示状态变化时发告警。关于cookies.txt它是前面登录时用curl -c cookies.txt存下来的。nz-csrf是登录响应里下的 CSRF cookie写接口必须把它镜像到X-CSRF-Token头否则会被挡返回 403。过一会儿读监控状态curl -s http://127.0.0.1:8008/api/v1/service -H Authorization: Bearer $TOKEN返回里能看到local-probe的current_up、current_down、total_up、total_down还有一组延迟样本我这边出现了1.38ms的探针往返。延迟有数、计数在涨说明探针在正常轮询。试着把 mock 停掉pkill -f mock_webhook.py再读面板监控项会转为 downtotal_down递增。再把 mock 起回来它会恢复 up。这条up → down → up就是你要的服务掉线能被看见的完整证据。6 配一条 Webhook 告警让面板主动来找你光在面板上看还不够——人不在家的时候得让它主动推。Nezha 支持把状态变化回调到一个 webhook 地址。先建一个通知也就是 webhook 目标curl -s -b cookies.txt -X POST http://127.0.0.1:8008/api/v1/notification \ -H X-CSRF-Token: $CSRF -H Content-Type: application/json \ -d {name:local-webhook,url:http://127.0.0.1:9099/hook,request_method:1,request_type:1,request_header:{\Content-Type\:\application/json\},request_body:{\msg\:\#NEZHA#\},skip_check:true} # {success:true,data:1}再建一个通知组把通知挂进去curl -s -b cookies.txt -X POST http://127.0.0.1:8008/api/v1/notification-group \ -H X-CSRF-Token: $CSRF -H Content-Type: application/json \ -d {name:default-group,notifications:[1]} # {success:true,data:1}前面创建监控项时notification_group_id:1指向的就是这个组。这里我踩了第一个坑。制造一次状态变化后看面板日志docker logs nezha-dashboard 21 | grep -i notify # NEZHA Try to notify local-webhook # NEZHA Sending notification to local-webhook failed: HTTP URL target is not allowedHTTP URL target is not allowed—— 这就是前面说的 SSRF 防护。Nezha 不会让回调打到127.0.0.1这类地址。进一步验证一下容器视角docker exec nezha-dashboard wget -qO- http://127.0.0.1:9099/probe # Connection refused容器网络命名空间和宿主机的127.0.0.1本来就是隔离的所以这个目标从容器里根本不可达。这一步不是白踩。它同时说明两件事一是 Nezha 默认不允许把告警打到内网地址这是个安全默认值二是本地 mock 想收到真实回调必须通过一个公网可达的地址。而公网可达正好是 cpolar 要解决的事。7 用 cpolar 给面板开一个短时公网入口这里进入正题人在外面怎么看到面板。先说清楚 cpolar 在这篇里负责什么——它只负责把本机8008面板临时映射成一个可访问的 HTTPS 地址不改变面板本身的任何行为。免费套餐给的公网地址是随机临时地址24 小时内会变化这正是短时访问场景合适的形态。开始前先确认本机已经装好 cpolarcpolar version # cpolar version 3.3.18cpolar这一行有版本号输出就说明可用。如果提示命令不存在去官网下载页https://www.cpolar.com/download按你的平台装macOS 用 Homebrewbrew tap probezy/core brew install cpolar登录态也要先有。可以在 Web UIhttp://127.0.0.1:9200登录后自动写入 token或命令行手动绑定cpolar authtoken 你的authtoken我这边本机服务已经在跑curl -s http://127.0.0.1:9200能返回页面所以直接开隧道。7.1 给 Dashboard 开 HTTP 隧道cpolar http -logstdout 8008stdout 里会打印隧道建立信息关键的一行长这样Tunnel established at https://2ee30571.r3.nas.cpolar.cn同时在 9200 的 Web UI 里也能看到这条隧道在线。地址每次不一样。我这次拿到的是https://2ee30571.r3.nas.cpolar.cn之前另开一次是https://75373bdb.r3.nas.cpolar.cn。免费套餐就是随机的别把地址抄死在文档里。7.2 从公网验证只读访问现在验证公网侧能不能打开面板curl -sI https://2ee30571.r3.nas.cpolar.cn/ # HTTP/2 200 curl -s -o /dev/null -w %{http_code}\n https://2ee30571.r3.nas.cpolar.cn/dashboard/ # 200匿名访问接口会被拒curl -s https://2ee30571.r3.nas.cpolar.cn/api/v1/server # {error:ApiErrorUnauthorized}带上 token 就能读到状态只读curl -s https://2ee30571.r3.nas.cpolar.cn/api/v1/server -H Authorization: Bearer $TOKEN # success true读到主机列表重点来了——写操作被拦curl -s -X POST https://2ee30571.r3.nas.cpolar.cn/api/v1/notification \ -H Authorization: Bearer $TOKEN -H Content-Type: application/json \ -d {name:x,url:https://example.com,skip_check:true} # {error:ApiErrorForbidden: missing or invalid CSRF token} HTTP 403这就是我想要的边界公网侧读得到状态改不了任何配置。因为我只带了 JWT没带登录时下发的 CSRF cookie 镜像写接口一律拒绝。手机浏览器的场景下你登录面板看数据是完全正常的读操作而任何想改配置的动作都会回到面板自己的鉴权流程上。8 安全边界我实际关掉了什么、验了什么这一节是这篇里最不能省的部分。前面说过 Nezha V2 的 Agent 通信和面板 HTTP 共用端口所以不能一句我打开的是面板就完事。我把实际做的边界控制列出来第一只在本机绑定的地址上开隧道不裸奔端口。docker port nezha-dashboard # 8008/tcp - 127.0.0.1:8008Compose 里写的是127.0.0.1:8008:8008宿主机不监听0.0.0.0。公网入口只有 cpolar 这一条。第二实测公网侧无法通过隧道注册一个伪造 Agent。我拿一份改了错误 secret、指向公网域名的 Agent 配置尝试注册# agent 指向 2ee30571.r3.nas.cpolar.cn:443client_secret 故意填错 ./nezha-agent -c bad.yml结果 RPC 上报直接失败上报系统信息失败: rpc error: code Unimplemented desc 404 (Not Found)回面板确认主机列表没有增加curl -s http://127.0.0.1:8008/api/v1/server -H Authorization: Bearer $TOKEN # 仍然只有 topical-tahr 一台也就是说Agent 的 gRPC 通道并没有像 HTTP 面板那样被 cpolar 的 HTTP 隧道透传出去加上 secret 校验伪注册这条路走不通。第三关掉了面板对 Agent 的命令执行能力。Agent 配置里disable_command_execute: true面板即便想下发执行任务Agent 侧也不接受。本文从头到尾只做看状态。第四不开 SSH、不开数据库端口。我全程只用8008一条 HTTP 隧道。SSH22、面板的 SQLite 数据库文件都不在公网暴露面上。第五用完就关。验证完执行pkill -f cpolar http -logstdout 8008然后确认地址不再可达。这是“短时隧道”应有的收尾动作——不要留一条事后忘记关的公网入口。把这五点合起来这篇的远程访问才是我一开始想要的样子看得到动不了用一时不开长。9 验收与收尾整套流程跑完我用一个断言脚本做了确定性验收全部通过PASS: T1 GET / 200 PASS: T2 GET /dashboard/ 200 PASS: T3 title has Nezha Monitoring PASS: T4 login token len215 PASS: T5 anon /api/v1/server rejected (ApiErrorUnauthorized) PASS: T6 server count1 (1) PASS: T7 agent platformdarwin PASS: T8 service monitor namelocal-probe PASS: T9 service type1 (HTTP GET) PASS: T10 service has up/down data PASS: T11 webhook notify succeeded (count1) PASS: T12 private target blocked (count2) PASS: T13 public /dashboard/ 200 PASS: T14 public anon api rejected (ApiErrorUnauthorized) PASS: T15 public read auth ok servers1 PASS: T16 public write blocked 403 ---- PASS16 FAIL0 RESULT: ALL PASS其中 T11 是Webhook 真的收到了回调T12 是私网目标确实被 SSRF 防护拦下T13~T16 是公网侧读得到、写不了。这几条正是这篇要证明的核心。清理也简单# 停隧道 pkill -f cpolar http # 停 Agent 和 mock pkill -f nezha-agent pkill -f mock_webhook.py # 停面板数据保留在 ./nezha-data docker-compose downnezha-data目录别删里面的配置和监控历史下次启动还在。关于告警回到本机的完整闭环我这边的实测结论是通知目标必须是一个 Nezha 认为允许的公网地址。本文是用 cpolar 的公网地址做回调目标才收到成功回执的——日志里明确出现Sending notification to cpolar-webhook succeeded。如果你希望长期接收告警正规做法是接到一个公网可达的 webhook 服务或你自建的公网通知端点而不是内网地址。10 总结到这里我最初那个出门在外想知道家里机器还在不在线的需求算是完整闭环了旧笔记本上跑着 Nezha 面板本机 Agent 在持续上报状态一条 HTTP 探针盯着本地服务状态变化会通过 webhook 推出去需要远程看的时候用 cpolar 给面板开一个短时 HTTPS 地址手机看一眼看完关掉。关键步骤可以浓缩成三步装用 Docker Compose 把 Dashboard 绑在127.0.0.1:8008写一份config.yaml起容器确认Dashboard::START ON :8008。接装本机 Agent 指向面板用agent_secret_key注册加一条 HTTP 探针和一条 webhook 告警看到实时数据和 up/down 变化。看cpolar http 8008拿到临时 HTTPS 地址公网侧只读查看验证写操作被拦、伪 Agent 注册失败用完关隧道。这套做法的好处在于职责分得很开面板负责采集和判断cpolar 只负责给一条临时通路安全边界靠面板自身的鉴权、CSRF 和 Nezha 的 SSRF 防护来兜底而不是把端口往路由器上一映射了事。等你想长期用了再考虑升级 cpolar 套餐换固定二级子域名或者接一个公网通知端点扩展路径都很清楚。