NAT やファイアウォールの内側のサーバーへ——開放ポートなし。

01  /  仕組み

外へ接続するのはサーバーだけ。内側へは何も入ってきません。

リバーストンネルやポートの開放は、サーバー上の何かが待ち受けることを意味します。それこそ NAT や CGNAT、ファイアウォールが遮断するものであり、攻撃者がスキャンして狙うものです。Connector はこれを逆転させます。

• ▸アウトバウンドのみ。エージェントは Termalin へ接続を開き、それを維持し続けます。ポートで待ち受けることは一切ないので、受信側で許可・転送・スキャンの対象になるものがありません。
• ▸中身は見えません。エージェントは、Termalin とホスト自身の localhost 上の sshd との間で、不透明な SSH のバイト列を運ぶだけです。認証情報や平文を見ることはありません。
• ▸つながり続けます。サービスとしてインストールされ、ネットワークの瞬断や再起動のあとも自分で再接続します。

02  /  インストールは 1 行

1 つのコマンドでサーバーを登録。

termal.in/account にサインインし、Connector を追加をクリックして登録トークンを取得したら、到達したいサーバーで次を実行します。

curl -fsSL https://termal.in/tunnel-install.sh | sudo TERMALIN_TOKEN=<token> sh

小さな静的バイナリ（Linux x86_64 または arm64）をダウンロードし、ホストを登録し、サービスをインストールして接続します。あとからトークンなしで再実行すると、バイナリをその場で更新するだけです。セットアップはこれだけで、ルーターの変更も、セキュリティグループの編集も不要です。

03  /  鍵なし・テナントごと

サーバーに鍵は残りません。

登録すると、サーバーの sshd が Termalin の SSH 認証局を信頼するようになり、以降のログインはその都度発行される短期証明書を使います。盗まれる心配のある、長く残り続ける秘密鍵がサーバー上に保存されることはありません。証明書はあなたのアカウントに限定されます。sshd はあなたのテナントのプリンシパルだけを受け入れるよう設定されるため、ホストが共有の CA を信頼していても、他人向けに発行された証明書は拒否されます。

04  /  これで到達できるもの

ターミナル、ファイル、データベース、監視——そしてエージェント。

サーバーを登録すれば、ホスト型の機能はすべて鍵なしでそこに到達します。

• ▸ウェブターミナル。ブラウザーから本物の SSH セッションを開けます。スマートフォンでも、タブレットでも、自分のものではないマシンからでも。Web SSH クライアントをご覧ください。
• ▸SFTP でファイルを。同じリンクを通じて、ファイル（最大 100 MB）の閲覧・編集・転送ができます。
• ▸プライベートなデータベース。localhost でしか待ち受けていないデータベースにも、キャビネットのデータベースクライアントから到達できます。
• ▸AI エージェント。ホスト型 MCP エンドポイント、そして ChatGPT と claude.ai のカスタムコネクターは、鍵を渡すことなく登録済みのサーバーでコマンドを実行し、その監視とアラートを読み取ります。Connector ごとに、そのサーバーへの AI アプリと API キーのアクセスを止めるスイッチがあります。AI エージェントのための SSH をご覧ください。
• ▸監視とアラート。Termalin は 1 分に 1 回、同じリンクを通じて読み取り専用のコマンドをいくつか実行し、それをダッシュボードとアラートに変えます。ディスクの逼迫、失敗したサービス、期限切れが近い証明書、サーバーのオフラインなどです。追加でインストールするものはなく、既定で有効で、すべてのサーバー用のスイッチと、サーバーごとのスイッチがあります。サーバー監視をご覧ください。