身份与准入

谁能登录。谁能接入。

用 Passkey 或二次验证保护账户，批准设备的来源 IP。设备停用时，单独收回它的连接配置。

账户登录，保护管理入口。

用 Passkey 登录，或给密码登录加上 TOTP 二次验证。添加或修改登录方式前重新验证身份；安全页面显示当前会话认证方式与到期时间。

团队提交企业资料审核，成员办理自己的证件与实人认证。历史证件核验和本次活体、人脸比对分别记录，不共用其他成员的结果。

从需要接入的设备打开准入链接并认证，由 Gateway 识别实际公网 IPv4。配额内自动批准，超限申请等待管理员处理，来源许可有独立有效期。

吊销 WireGuard、RouterOS 或 FortiGate 独立配置。Gateway 同步后移除其连接身份及相关路由、组网权限，其他独立配置继续连接。

Gateway 安全事件记录来源、客户端、处理阶段、原因与时间。管理员可以处理当前 Gateway 的误封来源，或封禁不再需要接入的来源。

回查账户变更的动作、对象与时间，并查看 Relay 创建请求、节点服务权益和 BYOP 接管记录。

最终 Connector 记录目标域名或 IP、协议、端口、上下行流量与时间，用来查找对应业务访问。

退出账户，会停用设备隧道吗？

不会。退出结束当前浏览器的控制台会话。终端连接配置有独立身份；停用设备网络连接，需要在对应配置中执行吊销。

来源准入和终端吊销，有什么区别？

来源准入管理 Gateway 的公网 IPv4 来源，主要用于 AnyTLS、SOCKS5 代理入口；WireGuard、IPsec 终端通过各自配置身份管理。封禁来源与吊销终端配置针对不同对象，不能互相替代。终端吊销不可撤销，再次接入需创建新配置。

账户审计和访问审计，会显示同一类记录吗？

账户审计回查管理动作与资源请求。访问审计由最终 Connector 记录目标与访问流量。Gateway 安全事件则说明入口连接的处理阶段和原因，三者用途分别不同。