PrintLink受控远程连接
调用端与 PrintLink 不在同一网络时怎么办：VPN、反向代理与直接开放公网的取舍、前置条件与责任边界。
最后更新
这条路径解决的是：调用端和 PrintLink 不在同一个局域网，任务要经 VPN、 反向代理或受管网络抵达。风险最高，不是默认项，也不是云打印服务。
先确认你真的需要它
「业务系统部署在公网」几乎从不需要这条路径——用户在自己电脑的浏览器里打开公网页面，
页面通过 127.0.0.1 连接本机 PrintLink 即可出纸。只有当打印机所在的机器与操作者
不在同一网络，且没法把操作者的浏览器放到那台机器旁边时，才继续读下去。
决策流程见部署拓扑。
三种落地方式（按推荐顺序）
| 方式 | 做法 | PrintLink 配置 | 谁负责什么 |
|---|---|---|---|
| VPN / 零信任网络 | 远程终端先接入打印节点所在的网络，再按局域网方式连接 | 局域网 + VPN 网段白名单 | 网络团队负责 VPN 身份与加密；PrintLink 只看到内网对端 |
| HTTPS / WSS 反向代理 | 在 PrintLink 前放一个带证书的代理，转发到本机 | 代理同机时保持默认；不同机时用局域网 + 只允许代理地址 | 你负责证书、域名、代理鉴权与限流；浏览器混合内容问题由 WSS 解决 |
| 直接开放公网 | PrintLink 直接绑定一个本机持有的公网可达地址 | 公网范围 + 显式确认的地址 + 精确白名单 | 你负责防火墙、端口转发与传输加密；连接是明文的，没有内置 TLS |
优先选前两种。直接开放公网是最后手段。
反向代理必须原样转发 Origin
浏览器经代理连接时，页面 Origin 仍是业务系统的域名，属于「外部 / 未知站点」，
始终需要在 PrintLink 上完成配对——代理不能替页面获得授权。代理不得删除或
改写 Origin：
- 代理与 PrintLink 不同机时，缺
Origin的连接会被当作远程原生客户端直接拒绝； - 代理与 PrintLink 同机时，PrintLink 看到的对端是回环地址——如果代理剥掉了
Origin，所有经代理的远程连接都会被误认为可信本机客户端并获得全部权限。 这是部署方必须避免的配置错误。
直接开放公网的前置条件
- 只能绑定本机真实持有的地址。 NAT 出口 IP 不是本机地址，不能绑定；
0.0.0.0一律拒绝。 - 绑定成功 ≠ 互联网可达。 端口转发、防火墙、运营商限制、DNS 与证书都由你处理； 产品不会自动改动防火墙。
- 白名单必须收窄。 允许所有来源需要额外的危险确认，拒绝规则始终优先。
- 没有内置 TLS。 连接是明文的，令牌、参数与上传内容都可能被窃听。 没有 VPN 或代理前置时，不应认为这种部署是安全的。
不可放宽的底线
以下规则由服务端强制执行，界面里关不掉：
| 底线 | 含义 |
|---|---|
| 远程非浏览器程序一律拒绝 | 没有 Origin 头的连接只有来自本机时才可信；经网络抵达的无 Origin 连接在握手前就被拒绝（REMOTE_NATIVE_CLIENT_DENIED）并记入审计 |
| 远程对端不享受任何免授权例外 | 例外按真实连接路径判定，经公网抵达的连接即使声称来自本机也照常要求配对 |
| 域名形式的来源永远需要授权 | 不能被任何例外覆盖 |
| 四层检查互不替代 | 放行 IP 不等于放行网站，配对成功不等于拥有打印权限 |
远程服务怎么办？
远程的 Node / Java / .NET 服务目前不能直连 PrintLink——它需要的服务 / 设备 令牌体系还没有。在那之前，三种可用的做法：
- 让操作者在 PrintLink 所在机器或同网段终端打开你的网页，走浏览器接入与 站点授权。这是唯一已产品化的路径。
- 同机桥接进程：把服务端逻辑拆出一个部署在 PrintLink 机器上的小进程， 由它通过本机地址调用；服务端与该进程之间的通道由你自己认证与加密。
- VPN / 反向代理 + 浏览器：终端不在同一网络时按上面的方式部署， 仍然以浏览器页面作为调用端。
远程非浏览器客户端还缺什么：可撤销的服务 / 设备令牌及其发放、轮换、撤销与审计； 把身份、最小权限与任务可见性绑定到该令牌；按连接路径分别配置原生客户端认证 模式的设置面板；官方跨语言 SDK 与版本兼容承诺。
上线检查清单
选 VPN 或 WSS 代理，而不是裸露公网
优先 VPN：PrintLink 配置不变，对端仍是内网地址。其次 WSS 反向代理：只让代理地址 进白名单，代理层做 TLS、鉴权与限流。两者都不可行时再考虑直接开放。
收紧白名单与站点策略
只放行远程终端或代理的精确网段；「新站点策略」设为仅允许名单内站点；用 机器策略锁定这些设置。
演练回滚
在控制台把范围切回局域网或仅本机：收紧立即生效并断开越界会话。 「恢复安全默认值」会重新开启全部授权校验。把这两步写进现场运维手册。
在真实环境验证
跨互联网可达性、防火墙、证书与浏览器混合内容都必须在你自己的环境里实测。 本文档不替代这一步。