上手指南
從在管理台開通，到用自己的工具連上第一台遙距服務，按下面的順序做即可。
開始之前
| 角色 | 裝在哪裏 | 做什麼 |
|---|---|---|
| 接入閘道 | 裝在要被存取的現場服務器、工控機、邊緣盒子或辦公電腦上 | 按白名單開放本機或同一局域網內指定的服務 |
| 存取用戶端 | 裝在工程師電腦或運維跳板機上 | 把授權的遙距服務映射到本機，或直接打開 SSH、SFTP、遙距桌面會話 |
兩端都只需要能主動向外存取 WorksLink 服務，不需要公網 IP，也不需要在路由器上做連接埠映射。如果企業出口有限制，Windows 版接入閘道的安裝嚮導裏可以先點「測試連通」，其他平台可以運行 workslink doctor 檢查。
系統時間需要基本準確（誤差在 2 分鐘以內），否則連接請求會因防重放校驗被拒絕。
完成首次連接
- 1
開通
組織管理員登錄 WorksLink 管理台，進入「安全遙距存取」，點擊開通。開通人成為負責人，沿用現有的企業帳號與成員權限。
- 2
添加接入閘道
生成一個閘道接入令牌。Linux 設備複製管理台給出的一行安裝命令執行；Windows 設備運行安裝包，填入管理台給出的地址與令牌。設備接入後會出現在「閘道」列表裏。
- 3
開放服務
為閘道配置服務白名單，例如 SSH、遙距桌面或數據庫連接埠。目標可以是閘道本機，也可以是同一局域網內的其它設備。白名單以外的連接埠一律不可達。
- 4
添加存取用戶端
為員工生成存取端令牌。員工在自己電腦上安裝存取用戶端，填入地址與令牌，電腦會出現在「存取端」列表裏。
- 5
配置存取規則
按標籤設定「哪些存取端 → 哪些閘道 → 哪些服務」。編輯時會即時預覽這條規則放行的範圍，保存後生效。
- 6
連接並查看記錄
員工用 workslink ssh、本地連接埠映射或自己熟悉的工具連接。管理員可以在「存取記錄」裏看到正在進行的會話與操作日誌。
安裝接入閘道
Windows
- 運行 workslink-access-gateway-setup.exe，在嚮導中填入管理台給出的地址與令牌，可先點「測試連通」確認出口放行。
- 安裝包內置離線 OpenSSH Server，安裝時自動配置並關閉 22 連接埠的入站放行；不需要時可用 /NOSSH 跳過。
- 以系統服務運行，開機後無需登錄即在線；托盤圖標顯示狀態：綠色已連接，黃色未註冊或連接中斷，灰色服務未運行。
- 批量部署可靜默安裝：
Linux
- 在管理台生成令牌後，複製頁面給出的一行命令執行。腳本會識別 CPU 架構、校驗安裝包、創建低權限的 workslink 用户，並註冊為 systemd 服務。
- 支持 x86_64 與 ARM64，靜態編譯，不依賴系統庫版本。
代理同一局域網內的設備：在白名單裏把目標寫成局域網地址（例如 192.168.1.100:3306）即可，不需要在每台設備上安裝。前提是這台設備對閘道可達，且已加入白名單。
未帶令牌安裝的閘道，可以隨時在本機瀏覽器打開 http://127.0.0.1:8586/ui/setup 填入令牌激活，無需重啓服務。
安裝存取用戶端
Windows
- 運行 workslink-access-client-setup.exe。默認以桌面托盤方式運行，在本機瀏覽器打開 127.0.0.1:8585 即可管理連接埠轉發。
- 需要在無人登錄時也保持隧道，可在安裝嚮導勾選「Windows 服務模式」，或靜默安裝時加 /SERVICE。
- 開始菜單裏的「workslink 命令行」已配好環境，可直接運行 workslink 命令。
macOS
- 按芯片選擇 Apple Silicon 或 Intel 的 .pkg 安裝包，安裝後常駐在菜單欄，點擊圖標打開控制枱。
- 命令行工具位於 /Applications/workslink.app/Contents/MacOS/workslink。
Linux
- 安裝後提供 workslink-conn 命令，按需建立隧道、用完即退；需要常駐映射時，可使用安裝腳本生成的 systemd 服務模板。
- 團隊共享模式（workslink ui --mode=cloud）會在本機監聽 HTTPS 與轉發連接埠，適合部署在團隊跳板機上；啓用前請規劃好存取來源與證書。
連接方式
圖形界面在本機瀏覽器打開 127.0.0.1:8585；下面是命令行的常用寫法。
| workslink list | 列出有權存取的閘道、在線狀態與開放的服務 |
| workslink connect <設備 ID> <服務> | 把遙距服務映射到本機連接埠，下次連接沿用同一連接埠 |
| workslink ssh <設備 ID> | 直接打開 SSH 會話；sftp、rdp 同理 |
| workslink rdp <設備 ID> | 打開系統自帶的遙距桌面用戶端連接遙距 Windows |
| workslink proxy <設備 ID> ssh | 作為 SSH ProxyCommand 使用，本機不監聽連接埠 |
| workslink exec <設備 ID> --timeout 2m -- <命令> | 在遙距執行命令，輸出即時返回，退出碼原樣傳回 |
接入 VS Code Remote-SSH 等基於 SSH 的工具：
常見問題
需要給每台設備都安裝嗎？
不需要。接入閘道既可以開放本機的服務，也可以代理同一局域網內配置好的其它設備的服務。前提是這些設備對閘道可達，並且已加入白名單。
是整個內網都打通嗎？
不是。WorksLink Access 按服務授權：只有閘道白名單裏的服務、並且被存取規則放行的存取用戶端才能連接，其餘一律拒絕，不會開放整段子網。
需要公網 IP 或連接埠映射嗎？
不需要。接入閘道與存取用戶端都只主動向外連接，被存取的服務不需要公網 IP，也不用在路由器上做連接埠映射。
和 WorksLink 遙距桌面有什麼區別？
要看屏幕、操作軟件，用遙距桌面；要連接服務器、數據庫、內網系統，或讓程序執行命令，用 WorksLink Access。兩者共用 WorksLink 企業管理台。
連接速度怎麼樣？直連失敗怎麼辦？
能直連時兩端點對點傳輸；無法直連時會自動經中繼轉發，同樣加密。實際速度取決於雙方網絡與連接路徑，仍受企業出口策略影響。可以運行 workslink doctor 檢查哪一環出了問題。
吊銷後多久生效？
新的存取請求立即按新策略判定。在線設備通常數秒內收到推送，已建立的連接隨之斷開；沒有及時收到推送或暫時離線的設備，最遲在下一次輪詢（約 2 分鐘）時同步。
存取和命令執行會被記錄嗎？
管理台集中記錄設備接入、授權與拒絕、令牌和規則變更、會話斷開等事件。遙距命令的執行明細保存在接入閘道本機的控制枱裏，不等同於完整的會話錄像。
WorksLink Access 會在我電腦上開放連接埠嗎？
連接埠轉發只監聽本機迴環地址（127.0.0.1）；使用 SSH ProxyCommand 時本機不監聽連接埠。例外是 Linux 存取用戶端的團隊共享模式，它會在本機監聽 HTTPS 與轉發連接埠，需要單獨規劃。
排障
所有平台都內置 workslink doctor，會按順序檢查以下 9 項，任何一步異常都會給出可執行的修復建議：
- 配置目錄權限
- 本機密鑰對是否完整
- 管理台配置是否有效、角色是否匹配
- 能否存取管理台的 HTTPS 接口
- 本機時鐘偏差是否在 2 分鐘以內
- 簽名鑑權自檢
- 閘道服務白名單語法
- 直連撥號實測
- 存取用戶端能否拉取授權設備列表
還有問題？