范叶亮写智能体、模型和数据系统时，习惯先把定义和边界钉死。把「在 OpenWrt 和群晖中自动申请和部署证书」整理成可落地的中文笔记：问题在哪、默认做法会踩什么坑、该怎么选。原站导航和广告已去掉。

acme.sh

为了在本地局域网环境中摆脱 IP 用上域名（纯属闲来无事瞎鼓捣），购入了 leovan.dev 域名。想着把各种服务都映射到不同的二级域名上，这样就可以不用 IP 和端口了，岂不完美。然，问题这就来了。

域名是在 Cloudflare 上申请的，在 Cloudflare 上使用 Page 服务 部署网站就可以白嫖他家的证书，还能自动帮你续期，比如当前的站点就是使用 Page 进行部署的。但你要是想生成证书下载下来使用，就会很麻烦，因为证书的有效期只有三个月，手动续期再加上各种替换操作就不太方便了。

Cloudflare

这时候就要请出我们的 acme.sh 了，除了支持各种桌面和服务器操作系统外，还支持 OpenWrt 路由器系统。

使用 acme.sh 申请免费证书需要使用 DNS 验证对域名的所有权，本文以 Cloudflare 为例，其它 DNS 请参考 官方文档 。Cloudflare 支持两种方式，一种是使用 API Token，另一种是使用全局 API Key，这里我们以 API Token 为例。

OpenWrt

进入 API Token 页面 ，单击 创建令牌 按钮，在 API 令牌模板中选择 编辑区域 DNS ，单击 使用模板 按钮。在 权限 中添加 区域 – DNS – 编辑 和 区域 – 区域 – 读取 的权限，在 区域资源 中根据你的需求选择对应的 特定区域 ，例如 leovan.dev ，或为了省事选择 所有区域 也可以，如下图所示：

创建完毕后会生成 Token，将 Token 保存为 CF_Token="xxxxxxxxx" ，注意该 Token 在 Cloudflare 中不会再展示。

acme.sh

之后从 Cloudflare 账户主页进入对应的域名详情页面，在右下角可以找到 API 的区域 ID 和账户 ID 两个代码，如下图所示：

将区域 ID 保存为 CF_Zone_ID="xxxxxxxxx" ，将账户 ID 保存为 CF_Account_ID="xxxxxxxxx" 。

uHTTPd

Opwnert 使用 uHTTPd 作为默认的 Web 服务器。正如官网上说的，这是一个轻量极了的 Web 服务器，以至于不支持反向代理。

但这不影响我们先把路由器的域名 router.leovan.dev 映射到 192.168.100.1 上先用起来。

群晖

opkg install acme acme-acmesh-dnsapi luci-app-acme luci-i18n-acme-zh-cn luci-ssl-openssl 安装完毕后可以在 服务 菜单下找到 ACME 证书 子菜单，进入后在 ACME 全局配置 中输入 电子邮件帐户 ，勾选 启用调试日志记录 ，如下图所示：

在 证书配置 中删除默认的配置，在下方输入框中输入配置名称，例如 leovan_dev ，如下图所示：

落地时建议先做的 5 件事

1. 先写清任务能不能被自动验证：能验证的交给系统和评测，不能验证的留给人审。
2. 本地部署先算显存、延迟和失败回滚，不要只看能跑通一次。
3. 多智能体只在单智能体触到上下文或专业边界时再拆。
4. Token、微调和压缩都要有对照数字，避免口号式优化。
5. 结论写成可检查清单：接口、超时、评测集、回滚版本。

和智能体产品怎么接

龙虾PRO做 OpenClaw 落地时，最该拿走的是「单智能体先做好工具和提示，再谈编排」。数字员工、技能市场和网关应共用同一套评测与权限，而不是各写一套角色人设。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源