网关与数据路径

登记与能力（GW-01）

使用 NSD 快速开始提供的当前命令和 pin 登记 NSGW。列表中的版本、端点、在线状态与能力来自真实上报；读失败不显示成“没有能力”。

中继（GW-02/GW-03）

分别制造可以使用 WireGuard 和只能使用 443/WSS 的环境。L3 Ping、Short DNS 服务访问与长连接都应工作；载体切换不应串网络或把旧授权留在旧网关。

服务出网与公网入口（GW-04）

从客户端访问 Gateway Egress 的 Short DNS，再从公网访问 ingress。核对目标服务、认证、TLS、来源网络和用量归属。

互联网出口（GW-05）

启用前后记录公网 IP、路由、DNS 与本地私网访问。默认路由、CIDR 范围、DNS routing、private-network routing 和 preserve CIDR 必须分别符合配置；关闭或撤权后完整恢复。

子网 HA（GW-06）

两台网关绑定同一 subnet，确认 NSD 显示 active/standby。停止 active 后验证 standby 接管、旧投影收敛以及恢复后的确定性角色。