NAS 接入与资源遥测

本文定义 nas-sz 在 AgentMeshOS 中的当前边界。NAS 是用户自有存储资源与独立遥测节点，不是系统云盘后端，也不加入 Nomad 调度。

当前定位

节点	Tailnet IP	管理身份	当前职责	明确不承担
nas-sz	100.64.0.10	admin（UID 0）	受限 SSH、Tailnet 连通性和只读资源遥测	Cloudreve 后端、系统云盘数据面、Nomad Worker、自动挂载或业务写入

允许采集 CPU、内存、根磁盘、真实挂载点、网络速率与运行时间。浏览器只能经 Status 查看筛选后的摘要，不获得共享路径、账号、Token、证书或文件列表。

网络边界

NAS 的 SSH 公钥仅允许主节点 Tailnet 地址 100.64.0.1，继续禁止端口转发、Agent 转发和 X11 转发。QNAP 官方 Tailscale 客户端不支持 Exit Node；不得通过手改默认路由绕过该限制。

Tailnet 在 NAS 上只用于管理和遥测，不承载 Cloudreve 上传、下载或 WebDAV 数据面。系统云盘路径是客户端经 MM 公网 HTTPS 直接访问 dd 上的 Cloudreve。

遥测

QNAP 使用已有 Docker Engine 运行官方 node_exporter，仅绑定 NAS Tailnet 地址 100.64.0.10:9100，不开放公网端口：

curl -fsSL https://docs.yohan.fun/scripts/agentmeshos-nas-node-metrics-deploy.sh | sudo bash -s -- --check
curl -fsSL https://docs.yohan.fun/scripts/agentmeshos-nas-node-metrics-deploy.sh | sudo bash -s -- deploy

在主节点验证：

curl -fsS http://100.64.0.10:9100/metrics | grep '^node_cpu_seconds_total'
curl -fsS http://127.0.0.1:39120/api/status
tailscale ping 100.64.0.10

停止遥测仅删除采集容器，不退出 Tailnet，也不删除 NAS 数据：

curl -fsSL https://docs.yohan.fun/scripts/agentmeshos-nas-node-metrics-deploy.sh | sudo bash -s -- remove

任何把 NAS 共享接入业务的提案，必须单独评审访问协议、读写权限、容量、备份、恢复和撤销路径。