上手指南
从在管理台开通，到用自己的工具连上第一台远端服务，按下面的顺序做即可。
开始之前
| 角色 | 装在哪里 | 做什么 |
|---|---|---|
| 接入网关 | 装在要被访问的现场服务器、工控机、边缘盒子或办公电脑上 | 按白名单开放本机或同一局域网内指定的服务 |
| 访问客户端 | 装在工程师电脑或运维跳板机上 | 把授权的远端服务映射到本机，或直接打开 SSH、SFTP、远程桌面会话 |
两端都只需要能主动向外访问 WorksLink 服务，不需要公网 IP，也不需要在路由器上做端口映射。如果企业出口有限制，Windows 版接入网关的安装向导里可以先点「测试连通」，其他平台可以运行 workslink doctor 检查。
系统时间需要基本准确（误差在 2 分钟以内），否则连接请求会因防重放校验被拒绝。
完成首次连接
- 1
开通
组织管理员登录 WorksLink 管理台，进入「安全远程访问」，点击开通。开通人成为负责人，沿用现有的企业账号与成员权限。
- 2
添加接入网关
生成一个网关接入令牌。Linux 设备复制管理台给出的一行安装命令执行；Windows 设备运行安装包，填入管理台给出的地址与令牌。设备接入后会出现在「网关」列表里。
- 3
开放服务
为网关配置服务白名单，例如 SSH、远程桌面或数据库端口。目标可以是网关本机，也可以是同一局域网内的其它设备。白名单以外的端口一律不可达。
- 4
添加访问客户端
为员工生成访问端令牌。员工在自己电脑上安装访问客户端，填入地址与令牌，电脑会出现在「访问端」列表里。
- 5
配置访问规则
按标签设定「哪些访问端 → 哪些网关 → 哪些服务」。编辑时会即时预览这条规则放行的范围，保存后生效。
- 6
连接并查看记录
员工用 workslink ssh、本地端口映射或自己熟悉的工具连接。管理员可以在「访问记录」里看到正在进行的会话与操作日志。
安装接入网关
Windows
- 运行 workslink-access-gateway-setup.exe，在向导中填入管理台给出的地址与令牌，可先点「测试连通」确认出口放行。
- 安装包内置离线 OpenSSH Server，安装时自动配置并关闭 22 端口的入站放行；不需要时可用 /NOSSH 跳过。
- 以系统服务运行，开机后无需登录即在线；托盘图标显示状态：绿色已连接，黄色未注册或连接中断，灰色服务未运行。
- 批量部署可静默安装：
Linux
- 在管理台生成令牌后，复制页面给出的一行命令执行。脚本会识别 CPU 架构、校验安装包、创建低权限的 workslink 用户，并注册为 systemd 服务。
- 支持 x86_64 与 ARM64，静态编译，不依赖系统库版本。
代理同一局域网内的设备：在白名单里把目标写成局域网地址（例如 192.168.1.100:3306）即可，不需要在每台设备上安装。前提是这台设备对网关可达，且已加入白名单。
未带令牌安装的网关，可以随时在本机浏览器打开 http://127.0.0.1:8586/ui/setup 填入令牌激活，无需重启服务。
安装访问客户端
Windows
- 运行 workslink-access-client-setup.exe。默认以桌面托盘方式运行，在本机浏览器打开 127.0.0.1:8585 即可管理端口转发。
- 需要在无人登录时也保持隧道，可在安装向导勾选「Windows 服务模式」，或静默安装时加 /SERVICE。
- 开始菜单里的「workslink 命令行」已配好环境，可直接运行 workslink 命令。
macOS
- 按芯片选择 Apple Silicon 或 Intel 的 .pkg 安装包，安装后常驻在菜单栏，点击图标打开控制台。
- 命令行工具位于 /Applications/workslink.app/Contents/MacOS/workslink。
Linux
- 安装后提供 workslink-conn 命令，按需建立隧道、用完即退；需要常驻映射时，可使用安装脚本生成的 systemd 服务模板。
- 团队共享模式（workslink ui --mode=cloud）会在本机监听 HTTPS 与转发端口，适合部署在团队跳板机上；启用前请规划好访问来源与证书。
连接方式
图形界面在本机浏览器打开 127.0.0.1:8585；下面是命令行的常用写法。
| workslink list | 列出有权访问的网关、在线状态与开放的服务 |
| workslink connect <设备 ID> <服务> | 把远端服务映射到本机端口，下次连接沿用同一端口 |
| workslink ssh <设备 ID> | 直接打开 SSH 会话；sftp、rdp 同理 |
| workslink rdp <设备 ID> | 打开系统自带的远程桌面客户端连接远端 Windows |
| workslink proxy <设备 ID> ssh | 作为 SSH ProxyCommand 使用，本机不监听端口 |
| workslink exec <设备 ID> --timeout 2m -- <命令> | 在远端执行命令，输出实时返回，退出码原样传回 |
接入 VS Code Remote-SSH 等基于 SSH 的工具：
常见问题
需要给每台设备都安装吗？
不需要。接入网关既可以开放本机的服务，也可以代理同一局域网内配置好的其它设备的服务。前提是这些设备对网关可达，并且已加入白名单。
是整个内网都打通吗？
不是。WorksLink Access 按服务授权：只有网关白名单里的服务、并且被访问规则放行的访问客户端才能连接，其余一律拒绝，不会开放整段子网。
需要公网 IP 或端口映射吗？
不需要。接入网关与访问客户端都只主动向外连接，被访问的服务不需要公网 IP，也不用在路由器上做端口映射。
和 WorksLink 远程桌面有什么区别？
要看屏幕、操作软件，用远程桌面；要连接服务器、数据库、内网系统，或让程序执行命令，用 WorksLink Access。两者共用 WorksLink 企业管理台。
连接速度怎么样？直连失败怎么办？
能直连时两端点对点传输；无法直连时会自动经中继转发，同样加密。实际速度取决于双方网络与连接路径，仍受企业出口策略影响。可以运行 workslink doctor 检查哪一环出了问题。
吊销后多久生效？
新的访问请求立即按新策略判定。在线设备通常数秒内收到推送，已建立的连接随之断开；没有及时收到推送或暂时离线的设备，最迟在下一次轮询（约 2 分钟）时同步。
访问和命令执行会被记录吗？
管理台集中记录设备接入、授权与拒绝、令牌和规则变更、会话断开等事件。远程命令的执行明细保存在接入网关本机的控制台里，不等同于完整的会话录像。
WorksLink Access 会在我电脑上开放端口吗？
端口转发只监听本机回环地址（127.0.0.1）；使用 SSH ProxyCommand 时本机不监听端口。例外是 Linux 访问客户端的团队共享模式，它会在本机监听 HTTPS 与转发端口，需要单独规划。
排障
所有平台都内置 workslink doctor，会按顺序检查以下 9 项，任何一步异常都会给出可执行的修复建议：
- 配置目录权限
- 本机密钥对是否完整
- 管理台配置是否有效、角色是否匹配
- 能否访问管理台的 HTTPS 接口
- 本机时钟偏差是否在 2 分钟以内
- 签名鉴权自检
- 网关服务白名单语法
- 直连拨号实测
- 访问客户端能否拉取授权设备列表
还有问题？
