公网连接由三部分组成
你的 Windows 电脑
运行 Agent、保存项目、验证访问码和设备身份。
HTTPS 中转入口
让手机在外网找到这台电脑，不应该保存 Agent 会话内容。
受限 SSH 反向隧道
电脑主动连接云服务器，并把每台电脑映射到独立租户和 socket。
方式一：使用管理员提供的共享中转站
适合个人开发者给少量试用用户提供中转。普通用户不需要服务器密码、SSH 私钥或域名配置。
- 向管理员取得两项信息
用户名，以及以
CMRA1.开头的一次性 API 接入密钥。 - 电脑端进入公网访问
在 “共享或自建中转站”中填写用户名和完整密钥。
- 点击一键接入
客户端解析账户中心 HTTPS 地址，在当前 Ubuntu 中生成本机独立设备密钥，并登记受限租户。
- 确认公网状态
隧道显示已连接后，用电脑端新生成的完整连接链接在手机上连接。
- 允许手机设备
第一次公网连接仍需在 “设备管理”点击允许。
一次性 API 接入密钥用于登记电脑，不是日常控制口令。完成接入后客户端不会保存它。
管理员登录是什么意思
管理员是云服务器/账户中心的所有者，不是普通手机用户。管理员入口放在 “管理员登录并配置这台电脑”的折叠区域中。
| 身份 | 填写内容 | 权限 |
|---|---|---|
| 普通用户 | 用户名 + 一次性 API 接入密钥 | 只登记和使用自己的电脑，不能继续分发权限 |
| 管理员 | 账户中心 HTTPS 地址 + 管理员用户名和密码 | 登记自己的电脑，并打开管理后台生成/取消用户密钥、撤销设备 |
因此界面应称为“管理员登录”，而不是“旧版登录”。管理员密码只用于本次登记，不应写入客户端配置。
方式二：使用自己的云服务器
拥有 Ubuntu/Debian 云服务器的用户可以自建中转站，并成为自己服务器的唯一管理员。服务器端不是只填一个 IP：需要正确完成 DNS、TLS、云安全组、系统防火墙、OpenSSH、反向代理和逐层验收。
- 一个使用 HTTPS 的公网域名和可自动续期的证书。
- OpenSSH 与反向 Unix socket 转发。
- 每个用户/设备独立的受限 SSH 身份，不允许 Shell、命令或 SFTP。
- 账户中心或等价的租户开通、审计和撤销机制。
- 可靠的 DNS、服务器更新、备份和运行监控。
已有旧版手动环境时，可以展开高级设置，填写公网 HTTPS URL、SSH 目标和远程 Unix socket。普通新用户不建议从手动模式开始。
公网设备保护
- 新手机第一次通过公网连接会进入等待确认，不能直接控制电脑。
- 允许第一台公网手机后，电脑端会自动启用“只允许已确认设备远程访问”。
- 每台手机都可单独撤销；被拒绝或撤销的设备不能继续控制。
- 完整连接链接仍包含敏感访问凭据，设备确认不是公开分享链接的理由。
- 连续输错访问码、远程保护码或设备身份时会触发短时限流。
中转站能看到什么
账户中心可管理
用户名、角色、设备公钥指纹、租户、在线状态、接入和撤销审计。
不应取得
用户电脑的 SSH 私钥、Agent 登录密码、项目文件、完整会话内容和 Windows 本机私有配置。