一台电脑。或整个分支。

员工在现有客户端导入订阅，路由器与防火墙使用独立配置。通过 Gateway，连接设备与业务网络。

每份终端配置，都能查看流量、设置速率，或收回连接权限。

连接方式，按设备选。

在 Surge 6、Mihomo（Clash 格式）或 Shadowrocket 中导入对应链接，从同一订阅获取发布后的规则更新。

为设备下载独立隧道配置。每份配置有自己的连接身份，方便分别查看流量与设置出口。

为分支下载路由器脚本，建立隧道。分支保留自己的路由安排，把需要的访问送入连接。

通过 IKEv2/IPsec 接入，沿用分支防火墙。设备侧继续管理路由、放行策略与 NAT。

从 Relay 为电脑、路由器或防火墙生成独立隧道配置，下载后导入设备。使用兼容客户端时，也可以选择订阅链接。

导入并启动连接后，在控制台查看设备的连接状态。路由器和防火墙还需完成设备侧的路由与访问策略。

从要接入的设备打开准入链接，完成账户认证，由 Gateway 识别当前公网 IPv4。来源获批后取得有时限的接入许可。

吊销对应终端配置，Gateway 同步后旧配置失效。其他使用独立配置的设备继续连接；再次接入需创建新配置。

为支持组网的配置声明内网段，两端都开启互通。保存后下载并重新导入更新配置，设备加载新的路由。

订阅链接能导入哪些客户端？

控制台提供 Surge 6、Mihomo（Clash 格式）和 Shadowrocket 格式。按所用客户端选择对应订阅；更换客户端时，生成对应格式的链接。订阅包含成员的连接凭据，请妥善保管。

规则或设备设置更新后，需要换配置吗？

分流规则发布后，客户端可以刷新原订阅获取新配置。终端内网段与组网路由更新后，需要重新下载并导入设备配置；吊销后的旧配置不能恢复，再次接入需新建配置。

WireGuard、RouterOS 与 FortiGate 的路由方式相同吗？

标准 Relay 的普通 WireGuard 配置使用全隧道。RouterOS 与 FortiGate 配置只建立隧道，路由和分流由设备管理；端口转发 Relay 的终端配置也不接管默认路由。FortiGate 接入还需在 Gateway 开启，并使用支持 IKEv2/IPsec 的固件。