账号、设备与网络安全

先分清网络权限和设备自己的权限

网云连决定设备能否进入网络以及哪些网络访问被允许；Windows、SSH、NAS、数据库和内部网站仍有自己的登录与权限。让朋友加入网络不会自动给他你的系统账号，但同网默认可达的服务仍可能被访问，因此要同时管理网络规则和应用权限。

自己的设备可以使用同一个账号。给朋友、员工或合作方接入时，让每个人使用自己的账号并接受成员邀请；常驻服务器使用独立设备令牌。这样离职、丢机或更换设备时，才能只撤销对应对象。

自己的电脑可以登录同一账号；同事、朋友和外部协作方使用成员邀请加入。不要共享管理员账号。成员只能进入被邀请的网络，不能管理所有者的账单或其他网络。

成员邀请让另一个账号获得网络成员资格，需要对方确认。设备令牌让一台设备直接加入指定网络，适合服务器；它不授予账号管理权限。两者都有限时和使用次数限制，可以撤销未使用的授权。

隧道使用 WireGuard 加密，设备密钥在本机生成。数据直连或经中继时都保持隧道加密；中继负责转发加密数据。网云连不代替远程桌面、SSH 或业务应用本身的账号权限管理。

没有配置访问策略时，同一网络中的设备默认互通。企业应按职责分组，在“访问规则”中明确允许的目标和端口；需要时采用默认拒绝规则。规则从上到下匹配，请先验证管理设备仍可访问，再逐步收紧。

诊断包用于定位连接问题，仍包含设备与网络信息。只发给可信的支持人员，不放在公开群聊或帖子里。不要发送密码、私钥或仍有效的接入令牌。

先列出必要的来源设备、目标设备、协议和端口，例如运维电脑到服务器 TCP 22。准备好管理允许规则后，再按需求设置默认拒绝，检查从上到下的匹配顺序，并保存。

保存后分别用一个被允许和一个应被拒绝的设备测试实际服务。保留变更前规则和独立管理方式，以便误配时恢复；不要在唯一的远程管理通道上一次性删除所有允许项。

部门、标签和设备显示名称用于整理，不会自动形成访问隔离。需要隔离时，明确建立分组和访问规则；组网模板只是生成可检查的草稿，仍需保存后才生效。

只是一台电脑丢失，先移除那台设备在相关网络的接入；员工离职则在每张相关网络移除其成员资格，并核对他的设备已撤销。一个账号可能加入多张网络，单张网络的处理不会替你清理全部其他网络。

邀请被发到错误群里时，先撤销未使用邀请，再检查是否有不认识的账号已经接受。撤销邀请不等于把已加入者移走；已加入的账号需另行移除。设备令牌泄露时检查是否已被消费，分别处理未使用令牌或已登记设备。

同时检查目标应用自己的密码、SSH 密钥、共享权限和其他登录会话。网络撤权只是其中一层，不会替你修改所有服务器的应用凭据。

诊断包会包含设备、网络和连接信息。通过可信工单渠道提供，说明故障时间和具体操作；不要在公开帖子粘贴完整安装令牌、成员邀请、私钥、支付验证码或机器人 Webhook。

向支持人员提供版本、网络 ID 和错误原文一般比反复重装更有帮助。涉及设备身份的本机配置也不是普通说明文件，不应作为公开示例随意上传。

退出账号或卸载软件，就是撤销云端设备了吗？

不是同一件事。卸载会影响本机程序，云端设备记录和授权需要按实际情况在控制台移除。重新使用时也要确认保留的身份与成员资格是否仍有效。

网络管理员能远程控制所有电脑吗？

不能仅凭角色获得系统登录权限，设备管理连接和资料编辑还按归属检查。管理员能维护相应网络配置，并不等于有每台电脑的远程桌面或 SSH 凭据。

加密中继是否意味着应用不用密码了？

隧道加密保护传输，但不能代替应用自己的身份验证。远程桌面、文件共享、数据库等仍应设置适当账号和访问权限。

我只想暂停几天，应该选哪个操作？