插件 0.6.0 起提供此电脑端高级设置，不要求 App 使用相同版本或为此同步升级。
默认局域网设置只允许当前所选网卡的 LAN 来源网段。已有受控的路由网络（例如 WireGuard 网段）需要连接时，可明确追加来源 CIDR；这不会自动建立 VPN、路由、IPv6 监听或公网入口。
- 打开 移动访问 → 局域网 → 额外可信网段 · 高级。此入口仅支持由 DSH Mobile 管理的局域网配置；无法读取或不支持时不能保存。
- 填入你确认可控的 IPv4 / IPv6 CIDR，每行一个，也可用空格或逗号分隔。例如
10.80.0.0/24或fd12:3456:789a::/64；这些只是格式示例，应替换为实际网络。 - 点击 保存网段，然后重启 DSH 生效。保存不会立即中断当前连接，也不会替换已选网卡、监听端口、证书或配对身份。
- 从该网络检查路由和防火墙，再用正常 HTTPS 配对流程连接。
当前 LAN 网段始终与额外列表合并；切换 Wi-Fi、热点或地址后，默认部分继续跟随已选网卡，明确保存的额外部分保持不变。清空额外列表可回到仅允许当前 LAN 网段，不删除配对设备或远程设置。
CIDR 按直接 TCP 来源地址匹配，不依赖 X-Forwarded-For。允许一个来源网段不等于允许所有网络，也不跳过 HTTPS、设备配对、精确 Host / Origin 或 CSRF 检查。只追加实际需要的范围，不要为了排错直接放行整个互联网。
DSH Mobile 的默认 Windows HTTPS / Discovery 入站规则只允许 LocalSubnet。保存额外 CIDR 不会修改或扩大这些规则；需要由你或系统管理员在 Windows 防火墙中单独允许受控来源访问实际 Mobile HTTPS 端口。
路由网络不一定支持局域网广播发现。发现列表没有电脑时，可使用电脑显示的配对链接或二维码，但路由、防火墙和 HTTPS 入口仍须可达。填写 IPv6 CIDR 也不会自动增加 IPv6 监听。
此设置用于局域网 Gateway 的来源访问范围，不改变外部反向代理的来源 CIDR。自有代理请按自有 HTTPS 反向代理指南配置；不要把局域网 Gateway 或私有 HTTP 后端映射到公网。
管理网页的 /api/mobile-access 与手机连接的 Gateway 是两个入口。上面的额外可信网段设置不会开放管理 API。默认情况下，管理 API 仍只允许直连来源为回环地址。
插件 0.6.18 起提供 adminAllowedCidrs，供已经通过受控局域网访问 DSH 的 NAS 部署使用。在现有 mobile-access 条目的完整 config 中追加以下字段，并将示例改成管理电脑的实际地址：
adminAllowedCidrs:
- 192.168.50.23/32这只是新增字段，不是可直接替换的完整 config。DSH 的条目覆盖会替换整个配置；请保留原有 setupFile、stateFile、controlFile、TLS 和其他自定义设置。修改后重启 DSH。
此选项不改变 DSH 的监听地址、路由或防火墙，也不会打开公网管理入口。仅允许列出的直接 TCP 来源，不读取 X-Forwarded-For；同时要求当前请求通过 DSH 的会话认证。浏览器须先正常登录 DSH；没有可用认证能力的版本、关闭认证的部署或无凭据请求不能靠填写 CIDR获得管理权限。尽量使用单台管理电脑的 /32，最多 32 项，不接受全地址 /0 或重复网段。
现有私有 IP/回环 Host 限制、精确 Origin、跨站检查和拒绝 CORS 预检的行为保持不变。管理 API 不接受任意域名或公网 Host。反向代理的直接地址可能代表多名访问者：代理必须限制访问、保留 DSH 认证、不能给此路径添加跨域许可。HTTP 局域网也不能防止链路窃听；不受控网络请使用 HTTPS 或 SSH 转发，不要公开 /api/mobile-access。恢复默认时移除该字段或设为空列表，不会删除配对数据。