Guide de démarrage
Suivez ces étapes pour activer WorksLink Access et atteindre un premier service distant avec vos propres outils.
Avant de commencer
| Rôle | Emplacement | Fonction |
|---|---|---|
| Passerelle d’accès | Sur le serveur, PC industriel, équipement de périphérie ou poste à atteindre | Expose les services autorisés du poste ou de son LAN |
| Client d’accès | Sur l’ordinateur du technicien ou un bastion d’exploitation | Mappe un service vers un port local ou ouvre une session SSH, SFTP ou de bureau à distance |
Les deux extrémités nécessitent une connexion sortante vers WorksLink, sans IP publique ni redirection de ports. Si la sortie est filtrée, utilisez Test connection dans l’installateur Windows de la passerelle, ou workslink doctor ailleurs.
L’horloge doit être juste à 2 minutes près, sinon la protection antirejeu refuse la connexion.
Première connexion
- 1
Activer
Un administrateur ouvre Secure Remote Access dans la console WorksLink et active le service. Le compte d’organisation et les droits existants s’appliquent.
- 2
Ajouter une passerelle
Créez un jeton de passerelle. Sous Linux, lancez la commande fournie par la console ; sous Windows, saisissez adresse et jeton dans l’installateur. L’appareil apparaît dans Gateways.
- 3
Exposer des services
Autorisez SSH, bureau à distance ou ports de bases de données. La cible peut être la passerelle ou un appareil du même LAN. Les autres ports restent inaccessibles.
- 4
Ajouter des clients
Créez des jetons pour les collaborateurs. Chacun installe le client, saisit adresse et jeton ; son ordinateur apparaît dans Connectors.
- 5
Définir les règles
Choisissez par étiquettes quels clients atteignent quelles passerelles et quels services. Vérifiez l’aperçu, puis enregistrez.
- 6
Se connecter et vérifier
Utilisez workslink ssh, un mappage de ports ou vos outils. Les administrateurs consultent sessions et événements dans Activity.
Installer la passerelle
Windows
- Lancez workslink-access-gateway-setup.exe et saisissez adresse et jeton. Test connection permet de vérifier les sorties réseau.
- L’installateur inclut OpenSSH Server hors ligne et ferme l’entrée du port 22. /NOSSH permet de l’omettre.
- Service système actif avant connexion utilisateur. Icône verte : connecté ; jaune : non inscrit ou déconnecté ; grise : service arrêté.
- Installation silencieuse pour les déploiements en nombre :
Linux
- Après création du jeton, lancez la commande de la console. Le script détecte l’architecture, vérifie le paquet, crée l’utilisateur workslink sans privilèges et enregistre un service systemd.
- x86_64 et ARM64 ; compilation statique indépendante des bibliothèques système.
Pour desservir le LAN, indiquez l’adresse cible, par exemple 192.168.1.100:3306. Aucun logiciel n’est nécessaire sur la cible, mais elle doit être joignable et autorisée.
Une passerelle installée sans jeton peut être activée sur http://127.0.0.1:8586/ui/setup localement, sans redémarrage du service.
Installer le client
Windows
- Lancez workslink-access-client-setup.exe. Par défaut, il reste dans la zone de notification ; ouvrez 127.0.0.1:8585 localement pour gérer les ports.
- Pour conserver les tunnels sans session utilisateur, choisissez le mode service Windows ou ajoutez /SERVICE à l’installation silencieuse.
- Le raccourci workslink du menu Démarrer ouvre un terminal prêt à l’emploi.
macOS
- Choisissez le .pkg Apple Silicon ou Intel. Après installation, ouvrez la console depuis l’icône de la barre des menus.
- L’outil se trouve dans /Applications/workslink.app/Contents/MacOS/workslink.
Linux
- workslink-conn ouvre les tunnels à la demande puis se ferme. Pour les mappages permanents, utilisez le modèle de service systemd créé par l’installateur.
- Le partage d’équipe (workslink ui --mode=cloud) écoute sur des ports HTTPS et de transfert. Sur un bastion d’équipe, prévoyez les sources autorisées et les certificats avant activation.
Modes de connexion
La console graphique s’ouvre localement sur 127.0.0.1:8585. Commandes courantes :
| workslink list | Lister les passerelles autorisées, leur état et leurs services |
| workslink connect <device-id> <service> | Mapper un service distant sur un port local réutilisable |
| workslink ssh <device-id> | Ouvrir SSH directement ; même principe pour sftp et rdp |
| workslink rdp <device-id> | Ouvrir le client de bureau à distance vers Windows |
| workslink proxy <device-id> ssh | Utiliser SSH ProxyCommand sans port d’écoute local |
| workslink exec <device-id> --timeout 2m -- <command> | Exécuter une commande distante avec sortie continue et code de retour |
Pour VS Code Remote-SSH et les autres outils SSH :
Questions fréquentes
Faut-il l’installer sur chaque appareil ?
Non. Une passerelle expose ses services ou ceux d’appareils du même LAN, à condition qu’ils soient joignables et présents dans sa liste d’autorisation.
Tout le réseau est-il ouvert ?
Non. Seuls les services de la liste autorisés par une règle sont accessibles au client. Le reste est refusé ; aucun sous-réseau entier n’est ouvert.
Faut-il une IP publique ou une redirection de ports ?
Non. Passerelle et client initient des connexions sortantes ; les services n’exigent ni IP publique ni redirection de ports.
Quelle différence avec le bureau à distance ?
Remote Desktop sert à voir un écran et manipuler des logiciels ; WorksLink Access relie serveurs, bases et systèmes internes ou exécute des commandes. Ils partagent la console.
Quel débit et que se passe-t-il sans liaison directe ?
La liaison est directe si possible, sinon relayée automatiquement et chiffrée. Le débit dépend des réseaux, du chemin et des politiques de sortie. Utilisez workslink doctor pour diagnostiquer.
Quand une révocation prend-elle effet ?
Les nouvelles demandes suivent immédiatement la politique. Les appareils en ligne reçoivent généralement le changement en quelques secondes et ferment les connexions ; sinon, ils se synchronisent au prochain sondage, sous environ deux minutes.
Les accès et commandes sont-ils enregistrés ?
La console journalise inscriptions, autorisations, refus, changements de jetons et règles, et déconnexions. Les détails des commandes restent dans la console locale de la passerelle ; ce n’est pas un enregistrement intégral des sessions.
Des ports sont-ils ouverts sur mon ordinateur ?
Les transferts écoutent uniquement sur 127.0.0.1 ; SSH ProxyCommand n’ouvre aucun port local. Le partage d’équipe Linux écoute sur HTTPS et des ports de transfert et demande une planification distincte.
Dépannage
workslink doctor vérifie ces neuf points dans l’ordre et propose des corrections :
- Droits du répertoire de configuration
- Intégrité de la paire de clés locale
- Configuration et rôle de la console
- Accès HTTPS à la console
- Décalage d’horloge inférieur à 2 minutes
- Authentification de signature
- Syntaxe de la liste d’autorisation
- Test de connexion directe
- Récupération de la liste des appareils autorisés
Toujours bloqué ?