访问 NAT 或防火墙后的服务器，无需开放端口

01  /  工作原理

服务器主动向外连接，没有任何连接进来

反向隧道或暴露端口，意味着服务器上得有东西在监听——而这正是 NAT、CGNAT 和防火墙会拦下的东西，也是攻击者扫描的目标。Connector 把方向反了过来：

• ▸仅出站连接。服务器代理向 Termalin 发起连接并保持它存活。它从不监听任何端口，所以没有任何入站连接需要放行、转发或被扫描。
• ▸它什么都看不到。服务器代理只在 Termalin 和主机本地 sshd 之间转发不透明的 SSH 字节流——从不接触你的凭据或明文。
• ▸它一直在线。以系统服务安装，网络抖动或重启之后它会自动重连。

02  /  一行命令即可安装

一条命令接入一台服务器

在 termal.in/account 登录，点击“添加 Connector”获取一个接入令牌，然后在你想访问的服务器上运行：

curl -fsSL https://termal.in/tunnel-install.sh | sudo TERMALIN_TOKEN=<token> sh

它会下载一个小巧的静态二进制文件（Linux x86_64 或 arm64），接入这台主机，安装为服务并连接。之后不带令牌再次运行，只会就地更新这个二进制文件。整个安装就这些——无需改动路由器，也无需编辑安全组。

03  /  无密钥，按租户隔离

服务器上不留密钥

接入时会让服务器的 sshd 信任 Termalin 的 SSH 证书颁发机构（CA），之后每次登录都使用即时签发的短期证书——服务器上不存长期私钥，也就无从被盗。证书仅限于你的账户：sshd 被配置为只接受你这个租户的 principal，所以即便主机信任这个共享 CA，为其他人签发的证书也会被拒绝。

04  /  通过它能访问什么

终端、文件、数据库、监控——还有 AI 代理

一台服务器接入之后，所有托管功能都能无密钥访问它：

• ▸网页终端。在浏览器里打开一个真正的 SSH 会话——手机、平板，或者不属于你的机器都行。参见网页 SSH 客户端。
• ▸通过 SFTP 管理文件。通过同一条链路浏览、编辑和传输文件（最大 100 MB）。
• ▸私有数据库。通过控制台里的数据库客户端，访问只在 localhost 上监听的数据库。
• ▸AI 代理。托管 MCP 端点——以及 ChatGPT 和 claude.ai 连接器——可以在已接入的服务器上执行命令，不交出任何密钥，还能读取它们的监控和告警。每个 Connector 都有自己的开关，可以把 AI 应用和 API 密钥挡在那台服务器之外。参见面向 AI 代理的 SSH。
• ▸监控与告警。Termalin 每分钟通过同一条链路运行几条只读命令，并把它们变成仪表盘和告警——磁盘快满、服务失败、证书即将过期、服务器离线。无需额外安装；默认开启，有一个针对所有服务器的开关，每台服务器也各有一个。参见服务器监控。