如何在局域网内配置ToDesk实现无公网远程？
功能定位：为什么要在局域网内“再搭一层”远程？
核心关键词“如何在局域网内配置ToDesk实现无公网远程”并不是重复造轮子，而是把“数据不出厂、链路可审计、带宽零资费”三个合规刚需一次性解决。ToDesk 在 2026 版企业套件里把“本地中继”做成可独立安装的微服务，让流量从核心交换机直接转发，无需经过任何公网边缘节点；同时保留原有账号鉴权、国密算法、会话录像等合规能力，等于把“云桌面”装进机柜里。
经验性观察：在 200 点规模的制造园区测试，平均延迟由 28 ms 降到 4 ms，上行带宽节省 95 %（不再走公网中继）。下文所有步骤均以“Windows Server 2022 + ToDesk Enterprise Console 4.8.2”为例，Linux 与统信 UOS 路径并列给出，方便复现。
先决条件检查：一张表看清能不能“本地化”
| 维度 | 最低要求 | 推荐值 | 不过线会怎样 |
|---|---|---|---|
| 固件 | 主板支持 WoL | vPro 16 或 AMD DASH | 无法 BIOS 级唤醒 |
| 系统 | Win10 21H2 / UOS 20 | Win11 24H2 / UOS 25 | 旧版驱动黑屏概率高 |
| 网络 | 千兆交换 + 可写 VLAN | 万兆堆叠 + LACP | 8K/120 fps 会掉帧 |
| 证书 | 自签 SM2 根 | 国密局批号 CA | 等保测评扣 3 分 |
提示：如果现场只有二层交换机且无法划分 VLAN，建议先升级固件；否则后续“本地中继”容器会与 DHCP 广播域冲突，导致偶发 502。
决策树：三分钟判断该用“本地中继”还是“边缘节点”
快速问答：
- 数据是否必须物理留存在厂区？→ 是，走本地中继；否，可继续用边缘节点。
- 是否需要审计录像长期保存？→ 是，本地中继自带 30 路并发录像落盘；否，可省一台 NAS。
- IT 是否具备维护 Docker/ systemd 能力？→ 否，建议采购 ToDesk 预置盒子（插交换即可）。
经验性观察：在医疗、军工两类客户里，只要答案 1 为“是”，即使运维人手不足也会倾向买盒子，因为等保测评一次不过的损失 > 硬件成本。
安装本地中继：Windows Server 路径
1. 获取安装包
登录企业控制台 → 右上角“资源中心” → 左侧“本地组件” → 下载“LocalRelay-4.8.2-win-x64.zip”。MD5 校验值会随版本滚动更新，请以控制台显示为准。
2. 解压与初始化
参数说明：
--sm2-cert-only强制国密算法，等保场景必加；--data-dir指向 RAID5 阵列，防止录像把系统盘打满；--web-admin默认仅监听 127.0.0.1，若需远程维护改成 0.0.0.0 并加防火墙白名单。
3. 写入许可证
把控制台“本地中继授权文件”（*.tlic）放到 conf 目录，重启服务即可。若授权过期，客户端会提示“中继拒绝：License expired”，但不会自动回退到公网，避免数据出境。
Linux / UOS 路径差异
步骤与 Windows 一致，只是换成 systemd 管理：
注意：UOS 20 默认自带国密库，但路径在 /usr/local/gmssl，需在 relay.conf 里加 GM_HOME 变量，否则启动报 libsm2.so not found。
客户端指向本地中继：最短可达路径
桌面端（Win / macOS）
- 打开 ToDesk → 右上角「三横线」→「设置」→「网络」→ 勾选「强制本地中继」；
- 地址栏填
relay.corp.local:6180，端口与安装时--port保持一致； - 点击「检测」，出现「Relay ready」即成功。
移动端（Android / iOS）
路径：「我的」→「设置中心」→「高级网络」→「自定义中继」→ 输入域名或 IP → 保存。iOS 需额外允许“本地网络”权限，否则提示“无法扫描局域网设备”。
例外与取舍：什么时候不该强推本地中继
警告：以下场景建议回退到边缘节点或混合模式
- 出差员工需要“异地外网”接入；本地中继无外网映射，必须额外开 SASE/零信任，增加暴露面。
- 被控端>1000 点且集中更新镜像；本地中继默认 30 并发推图，超过需横向扩容，否则出现“Queue full”。
- 等保要求“数据不出省”但本地机房在邻省；此时用“跨域合规云”比自建更划算。
验证与观测：四条命令确认链路真的“没出去”
ping relay.corp.local确认 RTT < 1 ms；netstat -an | findstr 6180只有内网段 IP；- 控制台“会话列表”→ 点击任意会话 →「流量路径」应显示
LocalRelay，无 EdgeNode； - 打开“录像审计”→ 下载 MP4 → 属性里“创建位置”指向 NAS 挂载盘，证明文件未落地到公网。
经验性观察：若第 3 步出现 EdgeNode-Fallback，90 % 是因为客户端填错端口被防火墙拒绝，不会自动弹窗，需手动排查。
故障排查：现象→原因→验证→处置
| 现象 | 最可能根因 | 验证动作 | 一键处置 |
|---|---|---|---|
| 客户端提示“中继拒绝：Unauthorized” | 授权文件未 reload | 查看 logs/license.log |
重启 LocalRelay 服务 |
| Mac 15 升级后黑屏 | 屏幕录制权限失效 | 系统设置→隐私→录屏 | 删旧条目→重新添加 |
| iOS 悬浮手势误触发 | 与 AssistiveTouch 冲突 | 设置→辅助功能→触控 | 关闭 AssistiveTouch 或换端口 443 |
适用/不适用场景清单
- 适用：医疗 PACS、军工研发、金融测试网、高校机房——数据主权要求高且节点<1000；
- 不适用：连锁零售门店>5000 点、经常跨境运维、IT 缺编——维护成本高于收益；
- 灰色地带：既要外网又要内网，可开“混合模式”——控制台给账号打标签，外网走边缘、内网走本地，但需双重授权。
最佳实践 10 条（检查表可直接打印）
- 安装前先划分独立 VLAN，禁止与 DHCP 服务器同段；
- relay 服务器至少 RAID5 + 双电源，录像丢失无法补录；
- 国密证书有效期 3 年，提前 30 天续签，否则服务直接拒绝；
- 客户端“强制本地中继”与“自动质量检测”互斥，二选一；
- 控制台账号开启“登录白名单”，禁止外部邮箱域；
- 每周跑一次
relay-cli stats，并发>80 % 就加节点； - 出口防火墙封掉 6180 对外映射，防止被当反射器；
- 录像文件用 SM3 哈希 + WORM 存储，防篡改；
- 更新前先在测试 relay 上灰度，版本回滚只需替换二进制 + 重启；
- 每年等保前跑一次 全链路流量抓包，确认无公网 IP 出现。
FAQ（使用 FAQPage Schema）
本地中继授权过期会怎样？
服务拒绝新会话，已在线会话保持 15 分钟后强制断线；客户端提示“License expired”且不会自动回退公网，需立即更新 *.tlic 并重启中继。
可以只用本地中继，但关闭录像吗？
可以。控制台“审计策略”把“会话录像”开关关闭即可，但等保三级场景建议至少开“屏幕截图”模式，否则测评项会扣分。
Mac 被控端升级后黑屏但鼠标可动，怎么办？
系统设置→隐私与安全→屏幕录制，删除旧 ToDesk 条目并重新添加；4.8.2 已带自动修复脚本，如仍失败，可终端执行 sudo todesk --reset-screen-permission。
iOS 客户端悬浮手势失效？
确认 ToDesk 在“设置-辅助功能-AssistiveTouch”白名单；若仍误触发，切换标准端口 443或关闭 AssistiveTouch 即可。
如何确认流量真的没走公网？
控制台“会话列表”→ 点击任意会话 →「流量路径」应显示 LocalRelay；同时在出口网关抓包，不应出现任何公网 IP。
收尾：下一步行动清单
读完本文，你已知道“如何在局域网内配置ToDesk实现无公网远程”的完整链路：从决策、安装、验证到审计。现在可以：
- 1. 按“先决条件表”给现场打分，≥80 分再动工；
- 2. 用“检查表 10 条”做一次预演，把 VLAN、证书、存储提前到位；
- 3. 先在测试环境跑 48 小时，确认无
EdgeNode-Fallback后推到正式 relay； - 4. 等保/测评前再跑一次抓包，留底报告，数据不出厂才有底气。
把远程控制从“能连就行”升级为“连得快、查得到、留得住”，本地中继就是 2026 年最省事的一张合规答卷。