導入ガイド
WorksLink Accessの有効化から、普段のツールで最初の遠隔サービスに接続するまで、順に進めてください。
始める前に
| 役割 | 導入先 | 機能 |
|---|---|---|
| アクセスゲートウェイ | 接続先の現地サーバー、産業用PC、エッジ端末、業務PC | 自機または同一LAN内の許可されたサービスを公開 |
| アクセスクライアント | 技術者のPCや運用用の踏み台 | サービスをローカルポートに割り当て、またはSSH、SFTP、リモートデスクトップを開く |
両端からWorksLinkへの発信接続ができれば利用でき、公開IPやポート転送は不要です。送信制限がある場合、WindowsゲートウェイのTest connection、他の環境ではworkslink doctorで確認します。
時刻のずれは2分以内にしてください。ずれが大きいとリプレイ攻撃対策により接続が拒否されます。
初回接続
- 1
有効化
組織管理者がWorksLinkコンソールのSecure Remote Accessから有効化します。既存の組織アカウントとメンバー権限を使います。
- 2
ゲートウェイを追加
登録トークンを発行します。Linuxはコンソールのインストールコマンドを実行、Windowsは導入画面にアドレスとトークンを入力します。登録後はGatewaysに表示されます。
- 3
サービスを公開
SSH、リモートデスクトップ、データベースのポートなどを許可リストへ追加します。自機と同一LANの機器を指定でき、リスト外のポートは接続不可です。
- 4
クライアントを追加
従業員用トークンを発行します。各PCにクライアントを導入してアドレスとトークンを入力するとConnectorsに表示されます。
- 5
アクセスルールを設定
タグで接続可能なクライアント、ゲートウェイ、サービスを指定し、プレビューを確認して保存します。
- 6
接続と記録の確認
workslink ssh、ポート割り当て、普段のツールで接続します。管理者はActivityでセッションとイベントを確認できます。
ゲートウェイの導入
Windows
- workslink-access-gateway-setup.exeを実行し、コンソールのアドレスとトークンを入力します。Test connectionで通信を確認できます。
- オフライン版OpenSSH Serverを同梱し、22番ポートの着信許可を閉じます。不要なら/NOSSHで省略できます。
- システムサービスとしてログイン前から動作します。緑：接続済み、黄：未登録または切断、灰：サービス停止。
- 一括展開用のサイレントインストール：
Linux
- トークン発行後、コンソールのコマンドを実行します。CPU判定、パッケージ検証、非特権workslinkユーザー作成、systemd登録を行います。
- x86_64とARM64対応の静的ビルドで、システムライブラリのバージョンに依存しません。
同一LANの機器は、192.168.1.100:3306のように接続先アドレスを許可リストへ設定します。各機器への導入は不要ですが、ゲートウェイから到達可能である必要があります。
トークンなしで導入した場合は、その機器のhttp://127.0.0.1:8586/ui/setupから有効化でき、サービス再起動は不要です。
クライアントの導入
Windows
- workslink-access-client-setup.exeを実行します。標準ではトレイに常駐し、ローカルの127.0.0.1:8585でポート転送を管理します。
- ログインなしで接続を維持するにはWindowsサービスモードを選択するか、サイレント導入で/SERVICEを指定します。
- スタートメニューのworkslinkショートカットから、設定済みのコマンド環境を開けます。
macOS
- Apple SiliconまたはIntel用.pkgを選びます。導入後はメニューバーのアイコンからコンソールを開けます。
- コマンドは/Applications/workslink.app/Contents/MacOS/workslinkにあります。
Linux
- workslink-connで必要時だけトンネルを開き、終了時に停止します。常時接続は導入時に作成されるsystemdテンプレートを利用します。
- チーム共有モード（workslink ui --mode=cloud）はHTTPSと転送ポートで待ち受けます。踏み台向けの機能で、有効化前に接続元と証明書を計画してください。
接続方法
GUIはローカルの127.0.0.1:8585で開きます。主なコマンド：
| workslink list | 許可されたゲートウェイ、状態、サービスを表示 |
| workslink connect <device-id> <service> | サービスをローカルポートへ割り当て、次回も同じポートを使用 |
| workslink ssh <device-id> | SSHを直接開始。sftp、rdpも同様 |
| workslink rdp <device-id> | OS標準のリモートデスクトップでWindowsに接続 |
| workslink proxy <device-id> ssh | ローカル待受ポートなしでSSH ProxyCommandとして利用 |
| workslink exec <device-id> --timeout 2m -- <command> | 遠隔コマンドを実行し、出力と終了コードをそのまま取得 |
VS Code Remote-SSHなどのSSHツール向け設定：
よくある質問
全機器への導入が必要ですか？
いいえ。ゲートウェイから到達可能で許可リストにある機器なら、同一LANの他の機器のサービスも公開できます。
ネットワーク全体が開放されますか？
いいえ。許可リストにあり、ルールで認可されたサービスだけに接続でき、それ以外は拒否します。サブネット全体は開放しません。
公開IPやポート転送は必要ですか？
不要です。ゲートウェイとクライアントは発信接続のみを行い、サービス側の公開IPやポート転送は必要ありません。
リモートデスクトップとの違いは？
画面表示や操作にはRemote Desktop、サーバー・データベース・社内システムの接続やコマンドにはWorksLink Accessを使います。管理コンソールは共通です。
速度と、直接接続できない場合の動作は？
可能なら直接接続し、できない場合は暗号化したまま自動中継します。速度はネットワーク、経路、企業の送信制限によります。workslink doctorで診断できます。
権限取り消しはいつ反映されますか？
新規要求には即時反映します。オンライン機器は通常数秒で更新を受けて接続を閉じ、通知を受け損ねた機器やオフライン機器は次回ポーリング時、約2分以内に同期します。
アクセスとコマンドは記録されますか？
登録、許可・拒否、トークン・ルール変更、切断はコンソールに記録します。コマンド実行の詳細はゲートウェイのローカルコンソールに残り、セッション全体の録画ではありません。
PC上に待受ポートが開きますか？
ポート割り当ては127.0.0.1のみで待ち受け、SSH ProxyCommandはポートを開きません。例外のLinuxチーム共有モードはHTTPSと転送ポートで待ち受けるため、別途設計が必要です。
トラブル診断
workslink doctorは次の9項目を順に確認し、問題への対処を示します：
- 設定ディレクトリの権限
- ローカル鍵ペアの整合性
- コンソール設定と役割
- コンソールへのHTTPS到達性
- 時刻のずれが2分以内
- 署名認証
- ゲートウェイ許可リストの構文
- 直接接続テスト
- クライアントの許可デバイス一覧取得
解決しない場合は