应用方案
U8ERP 客户端外网使用
出差或在家时，继续打开原版 U8 客户端，软件里的 U8-SERVER、内网 IP 和多端口不用改；现场机房也不需要公网 IP，更不必在防火墙上做端口映射。
适用 / 不适用
| 适用 | 不适用 |
|---|---|
| 客户端已写死应用服务器名、SQL 地址、文件服务器 | 只要浏览器打开门户 / 网报（改用 05） |
| 需要同时访问应用、SQL、UFNet 等多个内网目标 | 想把整张内网变成全网 VPN |
| 用户电脑是 Windows | 在 macOS / Linux 上跑原版 U8 客户端 |
| 已完成现场模块与端口核查 | 未核实版本、实例和机器名就承诺「一定能登」 |
U8 是组合产品：数据库、应用、加密（UFNet）、门户、任务及可选 CRM 等。只发布一个网站域名，不能证明原版客户端能在外网使用。
为什么不能用光猫映射
传统做法是把 1433、80、4630 等映射到公网。问题是：
- 客户往往没有公网 IP，运营商也不允许入站；
- 客户端认的是内网 IP / 短机器名，映射后地址对不上；
- 多个端口一起暴露，等于把账套入口放到互联网上。
本方案改为：现场 Edge 只出站；用户电脑安装 Access Client，系统只下发已批准主机的精确路由和租户 DNS。
推荐接入方式
| 角色 | 装什么 | 作用 |
|---|---|---|
| 现场机房（一台能出网的 Windows，建议长期开机） | Edge | 主动出站建隧道，探测已登记主机是否健康 |
| 外网使用 U8 的 Windows 电脑 | Access Client | 虚拟网卡 + /32 路由 + 租户 DNS |
| 业务人员 | 原版 U8 客户端 | 仍按原来的服务器名 / 地址登录 |
默认不是全网隧道。只把获批主机（例如 U8-SERVER、SQL 实例、文件服务器）接到该用户。SOCKS、任意转发、0.0.0.0/0 属于高级访问套餐，须单独开通。
外网 Windows（Access Client + 原版 U8）
→ 云端 Gateway（身份 / 授权 / 审计）
→ 加密出站隧道
→ 现场 Edge
→ 已登记的应用服务器 / SQL / UFNet 等
现场要准备什么
实施前必须按现场核查，而不是照抄资料默认端口。
| 核查项 | 说明 | 常见起点（仅供对照） |
|---|---|---|
| U8 版本与已启用模块 | 未启用的模块不登记对应端口 | — |
| 应用服务器机器名 / IP | 客户端里实际填写的值 | 短名如 U8-SERVER |
| SQL 实例与 TCP 端口 | 默认实例常见 1433，命名实例另有端口 | 1433 |
| UFNet 加密服务 | 未启动则 U8 不可用；不要当公网服务发布 | TCP 4630 |
| Dispatch / 报表等 | 按已启用模块最小化登记 | 11525、11520、9023 等 |
| 文件服务器 / 共享名 | 客户端若依赖共享路径，须登记该主机 | — |
| 现场 DNS / hosts | 短机器名解析给谁 | 写入租户 DNS，不发跨租户 hosts |
| Edge 所在机器 | 能出网、管理员可安装、业务 7×24 则保持开机 | — |
SQL 1433、CRM 8072 等只是资料常见值。多实例、改过端口、分离部署时必须以监听记录为准。
UFNet 是基础加密服务，应对应用服务器和受控客户端开放，不要单独映射到公网。
交付步骤（客户视角）
- 盘点谁要在外网用原版客户端，以及客户端里写了哪些服务器名 / IP。
- 友速开通租户，现场安装 Edge 并保持在线。
- 把应用、SQL、UFNet、文件服务器等登记为该租户的主机与服务；写入租户 DNS。
- 为指定人员签发 Access Client 授权（建议高风险访问配合 MFA，可设有效期）。
- 用户在外网 Windows 安装 Access Client，登录并确认已下发的主机列表。
- 不改 U8 客户端连接配置，按原来的方式登录账套。
- 用一张验收表勾选：登录、打开常用模块、打印/报表、断开 Access Client 后不可达。
用户怎么用
- 打开 Access Client，完成账号与设备校验（按租户策略可能要求 MFA）。
- 确认状态为已连接，主机列表里能看到现场批准的服务器名。
- 照常启动 U8 客户端，用原来的账套、操作员登录。
- 下班退出 Access Client，或授权到期后，路由和 DNS 收回，外网不再能访问这些主机。
用户拿不到整张内网，也看不到其他企业的资源。
怎么验收
| 项 | 通过标准 |
|---|---|
| 原配置登录 | 不改客户端服务器名 / IP，能进入常用账套 |
| 机器名 | 短名（如 U8-SERVER）能解析到获批主机 |
| 模块 | 现场已启用且已登记的模块可完成一笔典型操作 |
| 最小权限 | 未登记的内网地址不可达 |
| 回收 | 退出、到期或吊销后，原客户端立即连不上 |
| 现场出站 | 客户防火墙无 1433/80/4630 等入站规则 |
未启用的模块、未核实的 UDP、地址冲突场景，不作为本方案验收项。
边界与注意
- 关机即掉线。 Edge 或目标服务器休眠、关机后，外网客户端不可用。
- Access Client 仅 Windows 用户会话。 不是把现场电脑当成全公司 VPN 出口。
- 默认
/32。 需要整网出口时，另开通高级访问套餐，退出后收回。 - 门户是另一条路。 只要浏览器访问门户 / 网报，用 05，不要为此给全员安装 Access Client。
- SQL 管理工具（SSMS）若只为运维连库，优先走 02 的限时授权，而不是给运维下发整套 TVN。
相关方案
- 05 U8 门户与网上报销外网访问 — 业务人员用浏览器
- 02 SQL Server 外网访问 — 运维用 SSMS
- 目录