通道澄清
平台有多个端口与多条内部通道，「什么流量走什么通道」在此一并说清—— 这是理解端口规划（为什么恒不公网）与排障（抓哪个口）的基础。
节点的四个端口
| 端口 | 数量 | 网络面 | 鉴权 |
|---|---|---|---|
| 数据口 | N≥1（纯控制 CP＝0） | 唯一允许公网/前端暴露的面 | 数据面自身（路由/防护/租户） |
| 管理口 | 0/1 | 内网/管理网段或 127.0.0.1——禁公网 | Bearer |
| Tier 内部口 | 0/1（Standalone＝0） | 仅集群内网——恒不公网 | Tier KeyPair/传输层 |
| guardian 控制口 | 0/1（K8s＝0） | 默认仅本机；远程＝内网＋系统密钥 | 本机免鉴权；远程 Bearer |
端口没有代码级默认值——全部显式配置，缺省即启动拒绝。
为什么 Tier 口恒不与业务口复用
raft 复制/心跳/快照安装走独立的 Tier 内部口，两条硬理由：
- 稳定性——慢客户端不得拖累 raft 心跳（反之亦然）；
- 安全——对等口必须在防火墙层可区分（能连业务口 ≠ 能连共识口）。
guardian↔worker 通道清单
guardian 与 worker 同机共处，它们之间的通信按用途分为八类（C1~C8）—— 这是唯一清单：新增任何 guardian↔worker 网络通道，必须先在通道矩阵增行：
| # | 通道 | 载体 |
|---|---|---|
| C1 | 生命周期控制 | 进程句柄（永不网络化） |
| C2 | 探活 | 复用管理口 / DP-only 数据口拨号 |
| C3 | 控制面本机 | UDS/命名管道 IPC（OS 身份授权） |
| C4 | 控制面网络 | TCP＋Bearer（远程 guardian 场景） |
| C5 | 配置下发 | 版本仓卷（零网络——本地文件面） |
| C6 | 迁移数据面 | TCP raw（跨机迁移执行） |
| C7/C8 | 集群复制/配置读写 | Tier 口（raft） |
不走这些通道的流量
- 客户端流量只碰数据口；
- 管理操作只碰管理口（CLI/REST/UI）；
- 集群内复制只在 Tier 口（节点互连）；
- guardian 对 worker 的本机指令走 C1/C3，不进 raft、不经网络（C4 除外）。
单口模式的例外
Standalone 单口模式下，数据＋管理＋UI 合并到同一个口——这是开发/边缘便利形态； 生产与集群形态建议严格分离（数据口与管理口分口，或直接采用纯控制拓扑）。 两种 Standalone 的取舍见部署形态一览。