安装
「实例」→「安装」，选模板、机器、线路，可以给实例起名字、分配给某个成员。同一个模板在一个组织里可以装多个实例，每个实例有自己独立的数据卷。
状态说明：
| 状态 | 含义 |
|---|---|
| 运行中 | 容器在跑 |
| 已停止 | 你手动停了 |
| 出错 | 创建或启动失败，鼠标放到状态上看原因，或看实例日志 |
| 已卸载 | 容器删了，数据卷还在 |
| 清除中 | 正在删数据卷 |
使用桌面和终端
- 桌面：模板带图形界面时有「桌面」按钮，在浏览器里打开远程桌面。优先走 WebRTC 点对点，直连不通时走中继（中继流量计入套餐，见订阅与发票）。手机浏览器也能用。
- 终端：模板声明了命令行终端时卡片上有「终端」按钮；其它实例在「更多」→「终端」里打开，进入镜像自带的命令行（有 bash 用 bash），可以查看、修改应用的配置文件。镜像里没有命令行的（极少数精简镜像）打不开。
- 网页：应用声明了网页端口时有「网页」按钮，经 SealedNet 登录后打开。每个实例的每个端口有固定地址，不接线路的实例也能打开。
只有实例处于「运行中」、所在机器在线时按钮才可用。
第三方应用
从「应用市场 → 第三方」安装的应用，SealedNet 只保证出口和安全底线，应用本身由它的作者维护。
- 环境变量：安装时列出目录里的变量（名称、默认值、可选值），可以改，也可以加自己的；装好后在「更多」→「环境变量」里修改，保存后容器按新变量重建，数据不动。时区和语言跟着线路走，不能改。
- 外部地址：有的应用要填自己的访问地址（如
BASE_URL），在变量值里写{{url:端口}}（完整地址）或{{host:端口}}（域名），会自动换成这个实例那个端口的固定地址；输入框右侧的链接图标可以直接插入。 - 公开访问：「更多」→「公开访问」勾选端口后，这个地址不用登录 SealedNet 就能打开，适合手机客户端、API 这类直接连应用的场景。公开后谁拿到地址都能访问，只靠应用自己的登录把关，请先在应用里设好密码。
- 初始账号密码：很多应用把初始密码打在日志里，「更多」→「日志」里账号、密码、令牌等字样会高亮。
- 文件：「更多」→「文件」浏览实例的数据卷，可以上传、下载、新建目录、改名、删除，1 MB 以内的文本文件可以直接在线编辑。配置写在文件里的应用用它改配置；只能动这个实例自己的卷和挂进来的共享目录。
- 端口映射：数据库、SSH、MQTT 这类不是网页的端口，管理员在「更多」→「端口映射」里把实例端口开到机器端口上（只支持 TCP）。监听范围：仅本机、局域网（只接受内网来源，默认）、所有地址（能连到这台机器的人都能连，保存时会再确认一次）。机器端口被占用时实例卡片上的映射标签变红，悬停看原因。映射只影响进来的连接，实例自己出网照旧只走线路。
- 内网放行：实例默认摸不到你的局域网和宿主机。管理员在「更多」→「内网放行」里填允许的地址或网段（如
192.168.1.0/24、10.0.0.5），实例就能直连这些地址（只 TCP）。只能填内网地址，公网照旧只走线路，不会暴露真实 IP。 - 共享目录：媒体库、下载目录这类已经在机器上的文件，先在「机器」详情里「登记目录」（只读或可写；系统目录不能登记），安装时或装好后在「更多」→「共享目录」里把应用的卷改挂到它。改挂后原来卷里的数据还在，改回来就能看到；清除实例数据、备份都不碰共享目录。
- 核显：Jellyfin、Plex 这类要用核显转码的应用，先在「机器」详情里打开「核显」（只透传
/dev/dri这一个设备），再安装。 - UDP：实例发出的 UDP（游戏、语音、QUIC、NTP 等）经线路转发，出口 IP 仍是线路的。需要线路是支持 UDP 的 SOCKS5，「线路」列表里带「UDP」标记的就是；HTTP 线路和不支持 UDP 的 SOCKS5 线路上 UDP 不通（不会改走直连）。目录里标「UDP」的应用不能装到确定不支持 UDP 的线路上。
- 多容器编排：目录里的编排（Portainer stack）会自动转成主容器 + 最多 4 个附属容器，大家共用一个网络，按原来的服务名互相访问。超过 5 个容器、要现场构建镜像（build）、改入口命令、几个容器共用一个卷、挂编排仓库里的文件的，转不了，会置灰写原因。
- 装不了的应用：目录里需要特权模式、主机网络、控制 Docker、额外系统权限、核显以外的主机设备的应用会照样列出，但置灰并写明原因，不能安装。镜像没有你机器架构（如 arm64）版本的，安装时会提示。
更新、换线路、启停
- 更新：模板发了新版本时实例卡片上有「更新」。更新只换镜像，数据卷不动。
- 换线路：「更多」→「换线路」，实例会按新线路重建网络出口。
- 停止 / 启动：成员也可以操作自己能用的实例。
卸载和清除数据
- 卸载：删掉容器，数据保留。之后可以「重新安装」接着用原来的数据。
- 清除数据：单独的操作，删掉数据卷，不可恢复。
日志
「更多」→「日志」打开实例容器日志：支持搜索、只看错误（stderr）、200 / 500 / 1000 行、每 3 秒自动跟随。日志不存在面板里，每次打开时由机器上的 agent 现读。
数据卷里有什么
每个模板声明自己的数据卷（例如浏览器的用户配置、桌面的 home 目录）。备份和还原针对的就是这些卷，见备份与还原。