PortRelay：把内网服务临时、可控地开放给同事

边缘网关 + Agent 的端口中继：Agent 主动连出到网关，把内网目标挂到网关端口上；
通过邀请链接按设备授权，可选审批，首次连接起计时，到期、闲置自动收回。

- portrelay-server：边缘网关（端口池、白名单与授权租约、邀请与授权网页）
- portrelay-agent：Agent（yamux 隧道、本地 API 与网页面板、流量统计）
- mac-native：SwiftUI 菜单栏 App

deploy/docker-compose.yml

@@ -0,0 +1,17 @@
+# 用法：PORTRELAY_TOKEN=$(openssl rand -hex 24) docker compose up -d
+services:
+  portrelay:
+    image: ghcr.io/deepfal/portrelay-server:latest
+    # 或者从源码构建：
+    # build: ..
+    # host 网络保留访问者的真实 IP（白名单依赖它），也免去映射 1000 个端口
+    network_mode: host
+    environment:
+      PORTRELAY_TOKEN: ${PORTRELAY_TOKEN:?请设置 PORTRELAY_TOKEN}
+    # command: ["-listen", ":33000", "-port-min", "33000", "-port-max", "34000", "-state", "/var/lib/portrelay/leases.json", "-public-host", "gw.example.com"]
+    volumes:
+      - portrelay-state:/var/lib/portrelay
+    restart: unless-stopped
+
+volumes:
+  portrelay-state: