远程办公怎样稳定访问内网系统？贝锐花生壳内网穿透的落地思路
1. 先厘清问题：远程办公需要解决的核心是“可达性”
很多团队在推进远程办公时，第一反应是“网络够不够快”，但真正的瓶颈往往不在这里。公司内部的 ERP、OA、代码仓库、数据库、监控后台，绝大多数部署在局域网内，没有公网 IP，也不允许直接暴露在公网上。员工在家里、在出差途中打开电脑，缺的是“一条能安全抵达内网服务的路径”，而不是更大的带宽。贝锐花生壳的定位就是内网穿透与动态域名解析工具，把内网服务的地址映射成一个可在外网访问的地址，让访问行为落到具体应用上，而非把整个内网开放出去。这也决定了它在远程办公场景中扮演的是“按需开放的通道”，而不是把办公网络整体搬到公网上的方案。
2. 映射类型的选择：TCP 与 HTTPS 的分工
选错映射类型，是踩坑最多的一环。花生壳的映射只支持 TCP 与 HTTPS 两类，二者的适用边界非常清晰。HTTPS 映射是把内网的 HTTP 服务映射为外网的 HTTPS 访问，证书由平台自动部署，本地不需要额外配置，适合内部 Wiki、管理系统、Web 版业务后台这类浏览器直接打开的场景。TCP 映射则面向“非浏览器”的服务：远程桌面、SSH、数据库、FTP、各类客户端软件、监控摄像头，都应归到这一侧。需要特别提醒的是，FTP 本身不能由 HTTPS 映射承载，应使用 TCP 并同时放通 21 端口与被动端口；而 Windows 家庭版并未完整搭载远程桌面服务，若要用 3389，系统版本需专业版及以上。
3. 客户端平台：一套账号覆盖五类终端
远程办公的终端往往不统一，工程师用 Windows 和 macOS，服务器跑 Linux，机房里有树莓派，还有嵌入式设备需要集成。花生壳客户端覆盖 Windows、macOS、Linux、树莓派、嵌入式 SDK 共五个平台，同一账号下可以按设备形态分别部署。这里有一个容易被忽略的约束：同一账号不支持多地同时登录，异地登录会互踢并导致映射失效，因此团队协作时应按人或按设备分配账号，而不是多人共用一个账号。把账号体系规划在前面，能省掉后面大量“为什么映射突然不通”的排查成本。
4. 硬件形态：不装客户端也能完成接入
有些场景不允许在业务服务器上装任何软件，比如老旧的工控机、封闭的业务系统、机房里的关键设备。这时可以用硬件形态替代客户端。花生壳盒子（盒子 Pro）提供 2.4G WiFi 与 RJ45 有线两种接入方式，免安装客户端，通过访问 b.oray.com 完成激活即可投入使用。部署完成后，外网的运维人员直接用分配到的外网地址就能访问内网服务，整个过程不需要改动原有网络结构。对于工业现场——PLC、工控机、串口设备这类——则应选用工业级的花生壳盒子 X，它支持 4G 蜂窝备用、串口 RS232/485 转 TCP，采用 SECC 壳体与 IP30 防尘设计，并可通过网页、安卓/iOS APP 远程管理。消费级的软件客户端或盒子 Pro 并不适合直接用于工业现场，这一点在选型时务必分清。
