域名与 Web 公网入口
在“公网入口”中填写或复用域名，按提示配置 DNS，并查看证书与 HTTPS 状态。
域名在哪里管理
当前没有独立的“域名”导航。域名生命周期归属于 公网入口 → Web 应用：新建或编辑入口时，在“公网域名”输入完整主机名。已有域名会复用现有认领和证书状态；输入当前 Network 尚未使用的域名，保存入口时会自动认领，不需要先去另一个页面添加。
输入域名后，表单在保存前就展示两类 DNS：
- 路由记录：普通子域使用 CNAME 指向所选公网网关；裸域不能使用 CNAME，按页面提示创建 A 记录。
- 证书记录：ACME 委派 CNAME，用于平台签发和自动续期 HTTPS 证书。
可以一次把两条记录都发布到权威 DNS。首次保存会建立入口和域名认领，但在 DNS 生效、证书签发和访问授权完成前，请求仍不会成为可用业务路径。重新打开该入口，点击 检测 DNS 并签发证书；证书显示“HTTPS 已就绪”后不需要再次配置同一记录。
状态怎么判断
证书由平台自动签发与续期，用户不在这里上传服务器私钥。若部署明确显示“HTTPS 由外部管理”，则由外部 TLS 终止点负责证书，不能误把该状态当作平台已经签发。
创建 L7 入口
选择当前 Network 中的 HTTP/HTTPS Service，输入或复用公网域名，再选择路由网关。随后配置该入口可以接受的认证方式和来源 IP 策略；具体人员或工作负载能否访问，仍统一在 访问授权中决定。入口 Host 与后端 Host/协议是两层配置，不要因为外部使用 HTTPS 就假设后端也必须 HTTPS。
保存前逐项核对：目标 Service 在线且承载 Node 支持 terminate；域名和网关正确；“需要认证”至少选择一种方式，“完全公开”不与其他方式混用；mTLS 已选择现有客户端 CA；现有访问授权与本次认证变更兼容。若页面列出冲突授权，先调整或停用这些规则，不能强行保存造成线上身份失效。
公网入口只决定接受 OIDC、API Key、Basic、mTLS、Signed URL 或匿名中的哪些方式。具体用户或凭据能访问哪个入口，仍在 访问授权中配置。
创建 L4 入口
选择 TCP/UDP 公网监听和目标 Service。L4 没有浏览器登录页，也不使用 OIDC、工作负载凭据或 Edge Auth ACL；通用入口侧只有来源 IP 准入，应用协议自己的认证和加密由后端负责。数据库等敏感服务优先使用私网 L4 Service，而不是直接公网暴露。
Web 入口保存后先等待 DNS 与证书状态可用，再用允许的身份和来源地址访问；同时验证无凭据、错误凭据、未授权身份和被拒绝来源地址均失败。L4 入口要从允许/拒绝来源分别建立新连接，并验证后端协议自己的认证。只有对应的正反向检查都通过，入口才算正式可用。
变更与删除
域名、Service 或认证方式变更时先建立新路径并验证，再迁移流量。更换域名会更新入口绑定并回收不再使用的认领；正在被其他入口使用的域名不能删除。删除入口前确认 DNS、调用方、证书、访问授权和监控依赖；删除入口不会删除后端 Service，历史审计也应保留。
常见错误
- 把路由 CNAME 和证书委派 CNAME 当成同一条记录；
- 已复用验证成功域名，却再次添加一组互相冲突的 DNS；
- HTTPS 显示就绪后直接上线，没有验证访问授权和后端；
- 外部域名使用 HTTPS，就把内部后端也错误配置成 HTTPS；两层协议必须按各自真实终止点填写；
- 删除仍被其他入口使用的域名，或在 DNS 切换前先移除旧入口。