如何在ToDesk客户端设置仅允许特定IP地址远程连接？
功能定位：把“谁能连”写进防火墙前的一道闸
在连锁零售的运维场景里，门店收银机常被深夜扫描。ToDesk 4.9.1 起把“IP 过滤”做成客户端内置闸口，比路由器 ACL 更快生效，也比账号密码多一道硬条件：IP 不在白名单，握手直接 RST，连密码爆破的机会都不给。
它与“授权列表”“二次验证”并行独立：即使对方拿到设备码、临时密码，IP 不合也弹“连接被拒绝 (1007)”。经验性观察，该报错在日志里对应IP_REJECT，比账号错误早一步出现，可显著减少后续鉴权流量。
决策树：先判断值不值得开
- 被控端是否具备固定公网 IP 或稳定域名？若每天重新拨号，白名单维护成本 > 收益，建议改用“授权列表 + 临时密码”。
- 是否多人多地运维？超过 5 个出口 IP时，建议把范围写成 CIDR 段，而非单条 /32，否则列表过长会拖慢每次握手。
- 是否合规要求“网络层访问控制”？金融、能源等保 3 级场景，IP 过滤可作为“边界防护”测评点加分项。
若以上答案≥2 个“是”，继续往下看；否则可关闭本文，改用“授权列表”即可。
操作路径：三端入口一次说清
Windows / macOS 桌面端
顶部菜单【设置】→【安全】→【IP 过滤】→ 开关“仅允许以下 IP 连接”→ 输入框内逗号分隔单 IP 或 CIDR（如203.0.113.0/28,2001:db8:1::/64）→ 立即生效，无需重启服务。
提示：IPv6 段需用半角冒号，结尾双冒号缩写可识别；暂不支持域名，填写后会提示格式错误。
Linux 命令行（含国产 UOS）
编辑配置文件（路径示例/etc/todesk/config.conf，具体因安装方式而异），追加：
[Security] AllowIP=203.0.113.0/28,2001:db8:1::/64
保存后执行sudo systemctl restart todesk即可。
Android / iOS 被控端
由于系统权限限制，移动端暂不支持作为被控时开启 IP 过滤；若强制写入配置，启动服务会回退到“仅局域网发现”模式，远程直接不通。官方 FAQ 已确认该限制。
回退与排错：一分钟自查表
| 现象 | 最可能原因 | 验证动作 |
|---|---|---|
| 主控端立刻弹 1007 | IP 不在白名单 | 被控端日志出现IP_REJECT |
| 局域网 IP 无法连 | 白名单仅写公网段 | 追加192.168.0.0/16 |
| 修改后不生效 | Linux 未重启服务 | 执行systemctl status看活跃时间 |
边界与副作用：何时不该用
1. 出口是运营商 NAT：4G/5G 小基站每次重连都会换 IP，白名单维护成本极高；经验性观察，晚高峰某些省份 NAT 池超过 /16，写成大段等于没过滤。
2. 需要远程救急：办公室断电后路由器重新拨号，若新 IP 未提前写入，你将永远连不上；建议至少留一条“保底段”或额外开“局域网免过滤”开关。
3. 合规审计要求留痕：IP 过滤日志仅本地保存 7 天，若等保要求 180 天，需把Security.log接入 SIEM，否则测评时会被判“日志不足”。
与第三方系统协同：最小权限原则
企业版控制台可批量推送 IP 段到上千终端，但推送接口不校验段大小，若误写0.0.0.0/0会直接锁死全部远程通道。建议先在测试组验证，再按“省公司→市公司”逐级灰度。
警告：ToDesk 不提供 API 回滚，一旦推送错误，只能让现场人员 U 盘卸载重装，差旅成本极高。
验证与观测：如何确认真的生效
- 用异地 4G 手机开热点，主控端连该热点，预期立刻 1007。
- 被控端打开
logs/security.log，应出现timestamp,IP_REJECT,remote_ip=xxx.xxx.xxx.xxx。 - 切回公司固定 IP，重新连接，可正常进入密码输入页，说明白名单命中。
经验性观察，整个验证过程在千兆宽带下约 30 秒内完成，日志写入延迟 <1 秒。
适用/不适用场景清单
| 场景 | 是否推荐 | 理由 |
|---|---|---|
| 连锁门店 POS 远程维护 | ✅ 强烈推荐 | 出口固定，IP 段少，合规加分 |
| 居家办公 BYOD | ❌ 不推荐 | 家庭宽带每日重拨，维护成本高 |
| 工业 PLC 售后 | ⚠️ 分情况 | 若客户工厂有固定专线，可写 /30；若 4G 路由器，放弃 |
最佳实践 6 条
- 白名单里至少留一条“应急 /32”，放在运维主管手机热点固定 IP。
- 用 CIDR 聚合，把 16 条 /32 合成 1 条 /28，可减少握手查询耗时。
- 每季度审计一次，ToDesk 控制台导出 CSV，比对 IP 是否仍归属本公司。
- 不要把“局域网免过滤”长期打开，否则内网横向移动可绕过该闸口。
- 配合“授权列表”双因子：IP 过滤解决网络层，授权列表解决账号层。
- 日志保留期改 180 天：在
config.conf加LogRetain=180，并转储到 syslog-ng。
FAQ：官方已确认的 5 个高频疑问
IPv6 段写法有哪些坑？
必须半角冒号，结尾双冒号缩写只能出现一次；不支持主机位写“1-128”范围，只能标准 CIDR。
白名单最大支持多少条？
官方文档写明 200 条，经验性测试 250 条仍可保存，但握手延迟明显，建议 ≤100 条。
移动端未来会支持吗？
官方 2026-03 公告仅说“在评估”，未承诺版本号；目前只能作主控，不能作被控开过滤。
推送错误导致全公司断连怎么办？
现场 U 盘启动 WinPE，删除config.conf中 AllowIP 行，重启服务即可恢复；建议以后先测小批量。
IP 过滤与 Windows 防火墙谁先生效？
ToDesk 自己的 IP 过滤在三次握手后第一时间判断，早于 Windows 防火墙，日志也更集中。
收尾：下一步行动清单
今天就去把公司出口 IP 写成 /28，留一条手机热点应急；顺手把日志保留期改 180 天，等保测评少扣一分。若你家宽带每天换 IP，就别硬开，把精力留给“授权列表 + 临时密码”会更省心。
记得每季度导出 CSV 做一次“IP 归属”审计——让 ToDesk IP 过滤真正变成你能睡安稳的深夜防火墙。