上手指南
從在管理台開通，到用自己的工具連上第一臺遠端服務，按下面的順序做即可。
開始之前
| 角色 | 裝在哪裡 | 做什麼 |
|---|---|---|
| 存取閘道 | 裝在要被存取的現場伺服器、工控機、邊緣盒子或辦公電腦上 | 按白名單開放本機或同一區域網內指定的服務 |
| 存取用戶端 | 裝在工程師電腦或運維跳板主機上 | 把授權的遠端服務對映到本機，或直接開啟 SSH、SFTP、遠端桌面會話 |
兩端都只需要能主動向外存取 WorksLink 服務，不需要公網 IP，也不需要在路由器上做連接埠對映。如果企業出口有限制，Windows 版存取閘道的安裝嚮導裡可以先點「測試連通」，其他平臺可以執行 workslink doctor 檢查。
系統時間需要基本準確（誤差在 2 分鐘以內），否則連線請求會因防重放校驗被拒絕。
完成首次連線
- 1
開通
組織管理員登入 WorksLink 管理台，進入「安全遠端存取」，點選開通。開通人成為負責人，沿用現有的企業帳號與成員權限。
- 2
新增存取閘道
生成一個閘道接入令牌。Linux 裝置複製管理台給出的一行安裝命令執行；Windows 裝置執行安裝包，填入管理台給出的地址與令牌。裝置接入後會出現在「閘道」列表裡。
- 3
開放服務
為閘道配置服務白名單，例如 SSH、遠端桌面或資料庫連接埠。目標可以是閘道本機，也可以是同一區域網內的其它裝置。白名單以外的連接埠一律不可達。
- 4
新增存取用戶端
為員工生成存取端令牌。員工在自己電腦上安裝存取用戶端，填入地址與令牌，電腦會出現在「存取端」列表裡。
- 5
配置存取規則
按標籤設定「哪些存取端 → 哪些閘道 → 哪些服務」。編輯時會即時預覽這條規則放行的範圍，儲存後生效。
- 6
連線並檢視記錄
員工用 workslink ssh、本地連接埠對映或自己熟悉的工具連線。管理員可以在「存取記錄」裡看到正在進行的會話與操作日誌。
安裝存取閘道
Windows
- 執行 workslink-access-gateway-setup.exe，在嚮導中填入管理台給出的地址與令牌，可先點「測試連通」確認出口放行。
- 安裝包內建離線 OpenSSH Server，安裝時自動配置並關閉 22 連接埠的入站放行；不需要時可用 /NOSSH 跳過。
- 以系統服務執行，開機後無需登入即線上；托盤圖示顯示狀態：綠色已連線，黃色未註冊或連線中斷，灰色服務未執行。
- 批次部署可靜默安裝：
Linux
- 在管理台生成令牌後，複製頁面給出的一行命令執行。指令碼會識別 CPU 架構、校驗安裝包、建立低權限的 workslink 使用者，並註冊為 systemd 服務。
- 支援 x86_64 與 ARM64，靜態編譯，不依賴系統庫版本。
代理同一區域網內的裝置：在白名單裡把目標寫成區域網地址（例如 192.168.1.100:3306）即可，不需要在每臺裝置上安裝。前提是這臺裝置對閘道可達，且已加入白名單。
未帶令牌安裝的閘道，可以隨時在本機瀏覽器開啟 http://127.0.0.1:8586/ui/setup 填入令牌啟用，無需重啟服務。
安裝存取用戶端
Windows
- 執行 workslink-access-client-setup.exe。預設以桌面托盤方式執行，在本機瀏覽器開啟 127.0.0.1:8585 即可管理連接埠轉發。
- 需要在無人登入時也保持隧道，可在安裝嚮導勾選「Windows 服務模式」，或靜默安裝時加 /SERVICE。
- 開始選單裡的「workslink 命令列」已配好環境，可直接執行 workslink 命令。
macOS
- 按晶片選擇 Apple Silicon 或 Intel 的 .pkg 安裝包，安裝後常駐在選單欄，點選圖示開啟控制檯。
- 命令列工具位於 /Applications/workslink.app/Contents/MacOS/workslink。
Linux
- 安裝後提供 workslink-conn 命令，按需建立隧道、用完即退；需要常駐對映時，可使用安裝指令碼生成的 systemd 服務模板。
- 團隊共享模式（workslink ui --mode=cloud）會在本機監聽 HTTPS 與轉發連接埠，適合部署在團隊跳板主機上；啟用前請規劃好存取來源與證書。
連線方式
圖形介面在本機瀏覽器開啟 127.0.0.1:8585；下面是命令列的常用寫法。
| workslink list | 列出有權存取的閘道、線上狀態與開放的服務 |
| workslink connect <裝置 ID> <服務> | 把遠端服務對映到本機連接埠，下次連線沿用同一連接埠 |
| workslink ssh <裝置 ID> | 直接開啟 SSH 會話；sftp、rdp 同理 |
| workslink rdp <裝置 ID> | 開啟系統自帶的遠端桌面用戶端連線遠端 Windows |
| workslink proxy <裝置 ID> ssh | 作為 SSH ProxyCommand 使用，本機不監聽連接埠 |
| workslink exec <裝置 ID> --timeout 2m -- <命令> | 在遠端執行命令，輸出即時返回，退出碼原樣傳回 |
接入 VS Code Remote-SSH 等基於 SSH 的工具：
常見問題
需要給每臺裝置都安裝嗎？
不需要。存取閘道既可以開放本機的服務，也可以代理同一區域網內配置好的其它裝置的服務。前提是這些裝置對閘道可達，並且已加入白名單。
是整個內網都打通嗎？
不是。WorksLink Access 按服務授權：只有閘道白名單裡的服務、並且被存取規則放行的存取用戶端才能連線，其餘一律拒絕，不會開放整段子網。
需要公網 IP 或連接埠對映嗎？
不需要。存取閘道與存取用戶端都只主動向外連線，被存取的服務不需要公網 IP，也不用在路由器上做連接埠對映。
和 WorksLink 遠端桌面有什麼區別？
要看螢幕、操作軟體，用遠端桌面；要連線伺服器、資料庫、內網系統，或讓程式執行命令，用 WorksLink Access。兩者共用 WorksLink 企業管理台。
連線速度怎麼樣？直連失敗怎麼辦？
能直連時兩端點對點傳輸；無法直連時會自動經中繼轉發，同樣加密。實際速度取決於雙方網路與連線路徑，仍受企業出口策略影響。可以執行 workslink doctor 檢查哪一環出了問題。
吊銷後多久生效？
新的存取請求立即按新策略判定。線上裝置通常數秒內收到推送，已建立的連線隨之斷開；沒有及時收到推送或暫時離線的裝置，最遲在下一次輪詢（約 2 分鐘）時同步。
存取和命令執行會被記錄嗎？
管理台集中記錄裝置接入、授權與拒絕、令牌和規則變更、會話斷開等事件。遠端命令的執行明細儲存在存取閘道本機的控制檯裡，不等同於完整的會話錄影。
WorksLink Access 會在我電腦上開放連接埠嗎？
連接埠轉發只監聽本機迴環地址（127.0.0.1）；使用 SSH ProxyCommand 時本機不監聽連接埠。例外是 Linux 存取用戶端的團隊共享模式，它會在本機監聽 HTTPS 與轉發連接埠，需要單獨規劃。
排障
所有平臺都內建 workslink doctor，會按順序檢查以下 9 項，任何一步異常都會給出可執行的修復建議：
- 配置目錄權限
- 本機金鑰對是否完整
- 管理台配置是否有效、角色是否匹配
- 能否存取管理台的 HTTPS 介面
- 本機時鐘偏差是否在 2 分鐘以內
- 簽名鑑權自檢
- 閘道服務白名單語法
- 直連撥號實測
- 存取用戶端能否拉取授權裝置列表
還有問題？