下面就是这套配置的细节，数字来自我自己的机器，而不是凭记忆：设置文件、Claude Code 存放在 ~/.claude/projects 下的 session 记录（我的最早到 8月28日），还有它的 prompt 历史，最早到 2 月，一共 7,323 条 prompt。

Claude 和 Claude Code 不是一回事

#

Claude 是一个模型家族，也是你跟这些模型对话的那个聊天应用：claude.ai、桌面端和手机上的都是。Claude Code 是建在这些模型之上的 agent。你在一个项目文件夹里启动它，它就在那儿循环干活：读文件、跑命令、改代码、跑测试，直到活干完，或者需要你出面。问 Claude 怎么修一个问题，你得到的是一个回答。问 Claude Code，你得到的是修好的代码，外加一份等你看的 diff。

两个我都用。从 10月18日起，我做的一个集市兼社区应用就从 Django 后端直接把翻译请求发给 Claude API，而把它切换过去的那次改动，就是在一个 Claude Code session 里做的。在我的 session 记录里，94% 的回复来自 Opus 5.5，我设置里的 effort 级别是 high。

原生安装程序只有一行，而且会自己更新：

curl -fsSL https://claude.ai/install.sh | bash

它会在 ~/.local/bin 里留下一个 claude 符号链接，指向 ~/.local/share/claude/versions/；我的在 10月21日自己从 2.1.305 升到了 2.1.306。Claude Code 需要付费的 Claude 套餐（Pro、Max、Team 或 Enterprise），或者一个 API 账号。价格变得太勤，我就不写了，请看 Anthropic 的价格页面。

一个 tmux session，七个窗口

#

写这篇的时候，tmux list-panes -a 显示我笔记本上只有一个 session，叫 main，里面有七个窗口。其中五个是 Claude Code，每个项目一个：我的集市应用和我的估价应用（两个都在Fly.io 上的 Django 自动扩缩容里介绍过）、这个博客，还有两个小东西。我的终端 profile 打开每个窗口时都会起一个登录 shell，并把它接到 main 上。所以在笔记本上新开一个标签页，和从手机 SSH 登录进来，落到的是同一批 session。

9月17日到 10月8日，我试过另一个终端多路复用器，后来回到 tmux，原因很实际：我手机上的 SSH 应用是用 tmux 做多路复用的，它的快捷按钮发的也是 tmux 的默认按键。~/.tmux.conf 里类似下面这几行，就是为手机写的：

set -g prefix C-a                 # Ctrl-a prefix
set -g prefix2 C-b                # stock Ctrl-b too, for apps that send it

# Size each window to the client that used it last, not the smallest one,
# so a phone attached to the same session doesn't shrink it.
setw -g window-size latest

# Copy to the clipboard of whichever terminal is attached (OSC 52),
# so over SSH it lands on the phone's clipboard too.
set -g set-clipboard on

在 tmux 里，有两件事会不一样。Claude Code 用 Ctrl+B 把正在跑的命令放到后台，而 Ctrl+B 现在是我的第二个 tmux prefix，所以 ~/.claude/keybindings.json 把它关掉，改用 Meta+B：

{
  "bindings": [
    { "context": "Global", "bindings": { "ctrl+b": null } },
    { "context": "Task", "bindings": { "ctrl+b": null, "meta+b": "task:background" } }
  ]
}

另一件是换行。按 Enter 会发送 prompt。文档说，\ 加 Enter，以及 Ctrl+J，是在任何终端里都能用的两种；Option+Enter 要等终端把 Option 当作 Meta 发送之后才能用；Shift+Enter 在有些终端里原生就能用，但 tmux 只有在开了 extended-keys 时才会把它传过去。我没开，所以在我的 session 里，Shift+Enter 就是发送 prompt。这些我其实很少用到：7,323 条 prompt 里，只有 84 条含有我手敲的换行，而有 279 条含有粘贴的内容。Claude Code 会把粘贴折叠成 [Pasted text #1 +34 lines] 这样的占位符，发出去的还是全文。

终端、VS Code 扩展还是桌面应用？

#

同一个 agent 有好几种外壳，它们读的是同一套设置文件。按 Claude Code 在每份 session 记录里记下的入口来算，我的 session 是这么分布的：

Claude 应用和 claude.ai/code 不是启动 session 的第四个地方：它们操控的是笔记本上已经在跑的 session（或者云端的一个），而 10 月以来我的大部分 session 都通过 Remote Control 带着这条链接。

对我来说就是终端，而且不是出于情怀。我手机要接上去的 tmux 需要终端，channels 也需要。channels 能把外部事件推进一个 session，文档把它列为 CLI 的功能。

也常有人问 Claude Code 需不需要 git。CLI 不需要：我的 home 目录不是仓库，而我有 208 条 prompt 发给了在那里启动的 session。桌面应用的文档说，它的 session 隔离需要 git，每个 session 有自己的 worktree；把云端 session 拉到终端里，也需要同一个仓库的 checkout。“Git is required” 这条提示我自己从没见过。我最近一次用桌面应用是 10月20日，那个 session 跑在一个根本不是仓库的文件夹里。

权限模式，以及我实际用的那个

#

权限模式决定 Claude Code 多久停下来问你一次，用 Shift+Tab 在各个模式之间切换。Manual（default）在大多数编辑文件、跑命令或访问网络的操作之前都会问。acceptEdits 放行文件编辑和常见的文件系统命令。plan 只读、只提方案，不做编辑。auto 让第二个模型，也就是一个分类器，去拦下有风险的操作，而不是来问你。bypassPermissions 几乎什么都不问。从 2.1.284 版开始，除非你在 permissions.defaultMode 里另行指定，终端里的 session 默认以 auto 模式启动。

所以"怎么让 Claude Code 不问权限就跑"，我的老实回答是：我就是这么启动它的：

claude --dangerously-skip-permissions

我 shell 历史里的 69 条 claude 命令，有 62 条带着这个 flag，现在在跑的五个 session 也全都带着。8月28日到10月21日之间我敲的 1,266 条 prompt 里，1,179 条发给了 bypass 模式的 session，82 条给了 auto 模式，5 条给了 Manual 或 accept-edits。

文档说得很直白，bypass 模式是给"容器、虚拟机或不联网的 dev container 这类隔离环境用的，在那里 Claude Code 损坏不了你的宿主系统"。我的笔记本哪种都不是，而且我的设置里记着我已经点掉了那条警告（"skipDangerousModePermissionPrompt": true）。如果你也这么做，要知道 allow 规则在 bypass 模式下不起作用，所以在我日常的 session 里，分散在 19 个设置文件里的 378 条 allow 规则完全是摆设。deny 和 ask 规则仍然生效，而这两种我一条都没有。

例外是那个要读别人说的话的 session。它的启动脚本不带这个 flag，所以它以 auto 模式启动。10月12日到20日之间到达 session 的 27 个生产环境事件，全部是在 auto 模式下到的，43 条聊天消息里也有 42 条是，没有一条落在 bypass 下。

真正让 bypass 模式没反咬我一口的，是几条习惯，是九月某天两个 session 在同一个 checkout 里互相覆盖了对方的改动、还差点把它部署出去之后，写进 Claude 记忆里的（来龙去脉在那篇 agentic AI 安全的文章里）：小修复一能用就马上 commit；按文件名 stage，永远不用 git add -A；看看 git status 里有没有不是你做的改动；当 main 上有其他 session 还没部署的改动时，从线上那个 commit 建一个 worktree 来部署。

从手机上连过去

#

有三条路，每条通到的东西都不一样。

Remote Control 把手机上的 Claude 应用，或者浏览器里的 claude.ai/code，连到一个一直在笔记本上跑着的 session，文件、工具和 MCP server 都在。9月13日到10月20日之间，我敲了 26 次 /rc。现在 remoteControlAtStartup 开着，新 session 会自己连上：10 月初以来我启动的 77 个 session 里，有 67 个带 Remote Control 链接，而 9 月下半月是 52 个里只有 3 个。

开着 agentPushNotifEnabled 的话，Claude 觉得有必要时可以发推送通知，文档说通常是长任务跑完，或者需要你拿主意的时候。它需要 claude.ai 的订阅，而不是 API key；而且因为 session 跑在笔记本上，笔记本必须醒着。从 10月15日起，我的笔记本合上盖子也不睡了（sudo pmset -a disablesleep 1）。

反过来也行。/teleport，或者 claude --teleport，可以把在网页或应用里启动的云端 session 拉到终端里，连同它的分支和对话一起。我这么做过两次，都在 7 月。

SSH 是我想要终端本身的时候用的。手机通过我那篇私有网络的文章里的私有网络连到笔记本，一个别名再把它接到 main 上，于是我可以在留在笔记本上的那些窗口之间划来划去。让 Mac 正常响应手机上的应用，前后修了四个地方，其中跟 Claude Code 有关的是：tmux 绝不能自己启动。有个应用开了个 session 想跑 docker ps，拿回来的却是 72 KB 的屏幕重绘。

聊天机器人是给那个我不想守在旁边看的 session 用的。从 10月12日起，有一个 session 带着我写的一个小 channel 在跑，它每分钟查一次应用的服务器有没有新的生产环境报错和项目看板动态，然后交给这个 session；另外还加载了一个官方的聊天插件，这样在它 allowlist 上的我们两个人就能给它发消息。启动的那一行大致如下，名字都换成了通用的：

exec claude \
  --channels plugin:<chat-plugin>@claude-plugins-official \
  --dangerously-load-development-channels server:my-events "$@"

一个 supervisor 脚本让它一直在 tmux 里跑着。重启之后它会接着原来的对话，所以 session 是接着干，而不是一觉醒来脑子一片空白；每次重启它都会在聊天里通报一声。这个 session 在工作区里修东西，修完就停，只有一个例外，是我 10月13日加的：如果一个 bug 真的在生产环境伤到了用户，它可以修复、测试、commit 并部署，然后告诉我们它做了什么。

Skills、记忆和 /goal

#

我的设置文件里没有一个 hooks 键。最接近的是 /goal，从 7月11日起我用了一次又一次。它接受一个条件，为这个 session 设一个 Stop hook，用 Claude Code 自己的话说，这个 hook “在条件满足之前会阻止停止”。我写的 goal 读起来就跟我嘴上说的一样。一条 7 月的真实例子，错别字原样保留，告诉它构建 “still broken, try a deeper fix and dont stop until”（还是坏的，往深里修，别停），直到发到测试人员手上为止。想看看长任务进展如何、又不想打断它，可以用 /btw，它问的是一个不进入对话的旁支问题。我问的大多是某种版本的 “hows it going?"（进展如何？）。

Skills 装的是那些不然我每次都得重新解释一遍的东西。有一个用户级的 skill，读我维护的几个网站（这个博客也在其中）的每周关键词报告，再把结果用到标题、描述和标签上。这篇文章回答的那些问题，就来自它给这个博客出的、日期为 10月18日的那份报告，而这个 skill 文件和它的代码一起放在一个仓库里做版本管理。那个集市应用的仓库有自己的 skills：一个在 Docker 里启动 API 并跑冒烟测试，一个处理项目看板，还有一个负责提交公司的费用报销。我装的两个插件，一个是 Swift 的语言服务器插件，另一个就是那个聊天插件。

记忆是存放教训的地方。我在 17 个项目里一共有 160 个记忆文件，其中 83 个属于那个集市应用，很多都跟某次出故障有关。这个应用的 CLAUDE.md 现在大约是 6 月时的六倍长。这个博客的 CLAUDE.md 则是个空文件；一篇文章该是什么语气，写在一个记忆文件里。

遇到更大的活，Claude 会启动 subagent，在我的主 session 里一共 120 次，其中 40 次是对话的 fork。这个博客的日文、韩文、中文和越南文版本就是这么来的。10月19日和20日，这个应用社区板块的改版前后四次过了 Workflow 工具：一次从七个角度加一个 critic 做的审查，确认了大约 58 个问题；五个小组分头修复，每组只负责自己的文件，修完各自经过评审；一轮收拾剩下的问题；最后一次独立检查，确认每个问题都修好了。它在 20 号上线。

通过 SSH 操控工作站

#

我那篇私有网络的文章讲的是把重活放到 devbox 上，也就是办公室里那台带 GPU 的工作站，再从哪儿都能连过去。这些"连过去”，大多是 Claude Code 在做。9月24日到10月19日之间，笔记本上的 21 个 session 通过普通的 ssh 在 devbox 上跑了 1,470 条命令：kubectl 进那上面跑着的集群，在一个数据库 pod 里跑 psql，用 tmux capture-pane 看看一个长任务跑到哪儿了。因为离开办公室网络时 ssh devbox 会退回到一条隧道，同一个 session 在办公室、在家、在咖啡馆都能用。而且笔记本不再睡眠，session 可以一直操控着 devbox，我就在手机上时不时看一眼。

为什么我没法拿它和 Codex 比

#

凭我自己的使用经验，我没法告诉你 Claude Code 是不是比 Codex 好，看这张表就知道为什么：

一周里四个 thread，一个关于图片的问题、对一个网站的两次改动、一个 3D 场景，这叫试用，算不上比较。不过其中有个细节，换任何 agent 时都用得上。那个 3D 项目把规则放在一个 claude.md 里，我在那儿问 Codex 的第一个问题，就是它在对话开始前会不会读 Claude 的文件。它说不会，直到我让它去读那个文件，它才知道项目的规则。不管你换到哪个 agent，说明文件都会留在原地，除非你自己把它带过去。从那以后我再没开过 Codex 的 thread。9月24日到10月4日之间，有那么几天这个扩展在 VS Code 里加载过，但我一个 thread 也没开，现在它已经卸载了。

所以我能站得住的结论很窄。我的整套配置是围绕 Claude Code 搭起来的，而我也没有回头去看现在的 Codex 处理同样的事情会怎么样。

最后一个数字，比上面任何内容都更能说明我是怎么用它的。8 月下旬以来，在我笔记本上的主 session 里，Claude Code 跑了 18,311 条 shell 命令，读、写或编辑文件 2,331 次。按次数算，它的大部分工作是在跑那些本来要我自己敲的命令，在笔记本上，也通过 SSH，不管我人在哪儿。而它真写起代码来，那些代码也不是到哪儿都受欢迎，这是另一个故事了，见 pyhtml2text 那篇。

我的工作环境是三台很少待在同一个地方的设备。一台 MacBook Air，我去哪它去哪。一台放在办公室、叫 devbox 的工作站，有块像样的 GPU，上面跑着 Ollama、几样微调工具、一个自带容器镜像仓库的小 Kubernetes 集群，还有我丢在那儿慢慢啃长任务的某个 agent。再就是我的手机：我做的应用真正被使用的地方就是它，而它一天里大部分时间连的是移动数据，不是 wifi。

很长一段时间里，这三台设备之间基本不通。笔记本在办公室局域网里能连上 devbox，出了办公室就不行。手机和笔记本连着同一个 wifi 时，能访问笔记本上的 dev server，前提是我记得绑定 0.0.0.0，还得手动敲进 DHCP 那天早上分给 Mac 的地址。工作站上所有有意思的东西，Ollama API、集群的仪表盘、链路追踪、镜像仓库，都绑在 localhost 或集群网络上，这是故意的，因为它们都不该出现在公网上。

这篇文章讲我怎么用 Cloudflare WARP 和两条 Cloudflare Tunnel 把它们连起来，这对我做 AI 功能和移动应用的方式带来了什么变化，还有那几个坏了却一声不吭的地方。

我真正想要的

#

写成需求的话，很短：

1. 笔记本应该是个瘦客户端。凡是需要 GPU、大量内存或者要跑几个小时的东西，都应该在 devbox 上跑，而笔记本无论在办公室、在家还是在咖啡馆，都用同一种方式连过去。
2. 手机应该能在任何地方、用移动数据访问我的 dev server 和 shell，而且不需要一个我得记着开关的 VPN。
3. 我用来观察系统运行状态的东西，仪表盘、链路追踪、docker info、模型列表，应该只有我能访问，而且永远不该有公网 URL。
4. 不开入站端口。办公室路由器不开，家里路由器不开，哪儿都不开。

第四条排除了老办法，也就是端口转发加动态 DNS。它也排除了很多取巧的方案：devbox 和笔记本都在我控制不了的 NAT 后面，而笔记本每隔几小时就换一个 NAT。

之前：一个装满 SSH 隧道的仓库

#

最早的版本是我自己写的一个小仓库，到现在它仍然是底层。它在笔记本上只解决一个问题：给通过 SSH 访问的东西起干净的名字，别的不管。dnsmasq 把 *.test 解析到 127.0.0.1，Caddy 按主机名路由到本地端口，用 tls internal 让浏览器满意，再由一组 autossh launch agent 保持 SSH 转发开着，断了就重连。主机名本身说明了东西在哪儿：

所以 https://devbox-ollama.ssh.test/api/tags 列出的是工作站上的模型，https://api.local.test 是我手上在做的那个应用的 API，跑在我自己的机器上。

用的是 .test 的子域名，而不是 .ssh、.cloud 这样新造的顶级域，也不是 .local。RFC 6761 把 .test 专门保留给这种用途，而 .local 归 mDNS 所有；占用它的话，Mac 上的 Bonjour 发现就会失效。dnsmasq 本来就通配了整个 *.test，所以多一级标签不花任何成本：一个指向 127.0.0.1 的 /etc/resolver/test 文件，此后再也不用改 DNS。

给不存在的域名上 HTTPS

#

这些名字全都走 HTTPS，证书浏览器也信任，对一个只存在于我笔记本上的主机名来说，这听起来不太可能。Caddy 靠它自带的内部证书颁发机构做到这一点。在某个站点上写 tls internal，Caddy 就会用本地 CA 给这个站点签证书，而不是去找 Let’s Encrypt；安装脚本会跑一次 caddy trust，把 CA 的根证书放进 macOS 的系统钥匙串（Chrome 和 Safari 读这里），以及 Firefox 自己的证书库。从此 https://anything.test 打开时都不会有证书警告，普通的 http:// 会重定向过去，而且没有任何东西离开这台机器。

这不只是为了好看。现在 Web 平台上有很多东西在纯 HTTP 下直接罢工：secure cookie、service worker、剪贴板 API、任何带 SameSite=None 的东西。在纯 http://localhost 上测 web 构建，会把那些到了真正 HTTPS 域名上才冒出来的 bug 藏起来。在 https://app.local.test 上测，它们就会在我的笔记本上现形。

一个站点块，每个服务除了端口都一样：

devbox-ollama.ssh.test, devbox-ollama.test {
	tls internal
	import cors
	reverse_proxy 127.0.0.1:11435 {
		import proxyhdr
		transport http {
			keepalive off
			dial_timeout 5s
		}
	}
}

麻烦的部分都在那两个 snippet 里。cors 把调用方的 Origin 原样回传，而不是发 *，因为一旦涉及凭据，* 就不被允许；它还自己用 204 应答 OPTIONS 预检请求，上游永远不用操心。proxyhdr 把 Host 头改写成实际连接的地址。有些挑剔的后端，包括路由器管理页面和 Chrome 的远程调试端点，会校验 Host，否则就会把 devbox-ollama.ssh.test 当成一个从没听说过的名字拒掉。Ollama 自己的 origin 检查接受任意端口的 loopback，所以把 Host 改成 127.0.0.1:11435 就能过。

keepalive off 是我原本肯定会搞错的那个。上游是 SSH 转发，网络一变，autossh 就会把它拆掉重建。开着 keep-alive 的话，Caddy 会一直攥着一条通往已经死掉的隧道的池化连接，在重载之前一直返回莫名其妙的 404。关掉之后每个请求都重新建连，在 loopback 上这点开销几乎测不出来。

每个服务也仍然响应它原来的扁平名字（devbox-ollama.test），所以启用后缀方案之前的书签还能用。

菜单栏

#

launchd 撑着十几条转发，我老在问的问题是"它还活着吗？"，而答案散在三个地方：launchctl list、lsof 和一次 curl。于是我写了个小小的菜单栏插件把它们归到一处，每个主机名前面有个圆点：

• 🟢 服务通过隧道响应了请求
• 🟡 隧道是通的，但后面的服务没反应
• 🔴 本地端口上没有任何东西在监听，也就是隧道本身断了

有用的是黄色这一档。只分绿和红的检查，区分不了"SSH 转发断了"和"远端的 Ollama 崩了"，而这两者的修法完全不同。插件不自己维护服务列表，而是读取和其他部分同一份代理配置和 SSH 配置，所以在那里加一个服务，菜单里也就有了。

第一版太贪了。它每十秒刷新一次，每个服务都要起好几个进程，一次运行大约七十个，macOS 立刻把它列进了"耗电量大的应用"。改成每次运行只取一次快照、每隔几分钟刷新之后，降到了大约一个核的 0.1%。一个状态灯要是费电，就帮了倒忙，所以开销最好一开始就算进去。

它有一个漏洞，恰恰是最要紧的那个。devbox 没有公网域名。它的 SSH 转发连的是一个 192.168.x 地址，所以只有笔记本在办公室局域网里时才管用。一离开办公室，菜单栏就变红，而且一直红着；我为了给笔记本减负而搬到工作站上的所有东西，恰好在我不坐在它旁边的时候全都够不着。

两条隧道，方向要对

#

解法分三部分，前两部分是 Cloudflare Tunnel。

Cloudflare Tunnel 就是 cloudflared 保持一条通往 Cloudflare 边缘的出站连接。Cloudflare 把请求沿着这条连接送回来，所以不管机器躲在多少层 NAT 后面，路由器上不用监听任何端口就能访问到它。笔记本连上酒店 wifi 它照样跟着走，CGNAT 也拦不住它。

我跑了两条，每台机器一条，原因值得说一句。显而易见的捷径是只在笔记本上跑一条隧道，再加一条 ingress 规则，指向办公室局域网里 devbox 的 SSH 端口。这样 devbox 上什么都不用装。可它也要经过笔记本，而笔记本正是那台会离开办公室的机器。它会恰好在它本该解决的那种情况下失效。devbox 不挪窝，所以由 devbox 自己保持通往边缘的连接。

# config.yml on devbox (runs as a systemd service)
protocol: auto        # prefer QUIC, fall back to HTTP/2 over TCP 443
ha-connections: 4     # mains-powered, its job is to stay reachable

warp-routing:
  connectTimeout: 5s

ingress:
  - hostname: ssh-devbox.example.com
    service: tcp://127.0.0.1:22
  - service: http_status:404

用 tcp:// 而不是 ssh://，是个很容易弄错的地方。ssh:// 选的是 Cloudflare 在浏览器里渲染的终端，它会把数据流包装成网页用的格式；普通的 ssh 客户端从这里过，能收到 banner，然后死在密钥交换那一步。tcp:// 才是 cloudflared access ssh 期待的那种纯字节管道，顺带还能承载 scp、rsync、走 SSH 的 git 和端口转发。

最后这一点，正好补上了 SSH 这一层的漏洞。现在 SSH 配置会按每次连接选路：

Match originalhost devbox !exec "nc -z -G 1 <office-lan-ip> 22 >/dev/null 2>&1"
    ProxyCommand cloudflared access ssh --hostname ssh-devbox.example.com ...

在办公室局域网里，探测成功，SSH 直连，一跳到位。在其他任何地方探测失败，SSH 就走 Cloudflare，用 Access service token 认证，中间不用在浏览器里登录。这里是 Match originalhost，不是 Match host：host 在 HostName 替换之后才匹配，那时名字已经变成 IP 了，这个块永远不会触发。结果就是 devbox-ollama.ssh.test 在办公室、在家、在火车上都能用，菜单栏上的圆点一直是绿的。

笔记本上那条隧道方向相反。它给 Mac 上的 dev server 分配真正的公网 HTTPS 主机名：我手上在做的每个应用，都有 API、WebSocket 服务和 web 构建这三个。它们每一个都挡在 Cloudflare Access 后面，这一点后面还会讲，因为正是它让这件事变得安全，而不是鲁莽。

菜单栏也学会了认这两条隧道，而且没法靠探测来做。入站隧道没有本地端口可查，两个 connector 里有一个根本不在笔记本上跑，而最直接的测试，curl 一下 ssh-devbox.example.com，不管有没有 connector 挂着，都会从 Cloudflare 边缘拿到响应，所以隧道死了它也会显示绿色。launchd 也好不到哪去：cloudflared 所有边缘连接都断了，它照样显示"loaded, exit 0"。所以隧道这部分改成去问 Cloudflare API 每条隧道有没有健康的 connector，因为决定一次 ssh 能不能落地的就是它。如果连不上 API，这一整部分就干脆不显示，而不是画成红色。菜单是扫一眼就看的东西，那里的一次误报，比少一行的代价更大。

第三部分：WARP 让它成为一个网络

#

带主机名的隧道对任何说 HTTPS 的东西都很好用，对能跑 cloudflared 的机器上的 SSH 也一样。手机不行。而且隧道主机名不是一个 TCP 端点：Cloudflare 边缘在上面只终结 HTTPS 和 WebSocket，所以 ssh.example.com 的 22 端口是关着的，在 Access 上怎么折腾都打不开。

这就是 WARP 的活了。Cloudflare One Agent（企业版 WARP 客户端，不是面向普通用户的"1.1.1.1"应用，那个加入不了组织）装在笔记本和手机上，注册进我的 Zero Trust 组织。每条隧道通告私有路由，运行 WARP 的设备就能直接对这些地址开一个普通 socket，落到正确的机器上。它不再是"按名字访问这个服务"，而是"这几台机器和我在同一个网络里"：

这些地址是每台机器上的 loopback 别名，开机时创建，所以跟 DHCP 或者我身后是哪台路由器都没关系。198.18.42.2 就是 devbox，在办公室是，在家是，从连着 5G 的手机上也是。Mac 真正的局域网地址我每换一个地方就变一次；这个永远不变。

split tunnel 用的是 include 模式，里面只有这些路由（外加 WARP 自身需要的 Cloudflare 网段）。正是这一点让这个客户端能长期开着。默认是 exclude 模式，WARP 承载除一串私有网段之外的所有流量，于是手机发出的每个字节都要绕道 Cloudflare。这对电量和延迟有实打实的代价，大到我最后只会在需要时才打开它，那就失去意义了。在 include 模式下，发往我这三台机器的流量走 WARP，其他一切照常走原来的路径，完全不受影响。所以客户端就一直开着。笔记本上的 warp-cli status 整天都是 Connected，我根本不用去想它。

传输方式我选的是 MASQUE，也就是跑在 UDP 443 上的 HTTP/3，带 HTTP/2 回退，而不是跑在 UDP 2408 上的 WireGuard。有些运营商和访客网络会封 2408；几乎没人封 443。我组织的策略还给 MASQUE 打开了后量子密钥协商，这不是我特意去找的，但也没理由拒绝。

为什么是 198.18，为什么还有 IPv6 地址

#

这些地址看着有点怪，而我最初挑的那几个错得很有教育意义。

我第一次用的是 10.10.0.1，因为大家顺手就会选它。它在两种 split tunnel 模式下都不行。在 exclude 模式下，WARP 的默认列表排除了所有 RFC 1918 网段外加 100.64.0.0/10，所以客户端会在流量离开设备之前就把它丢掉。在 include 模式下，它会和我碰巧接入的任何真实 10.x 网络冲突；咖啡馆、联合办公空间和不少办公室用的正是这个网段。198.18.0.0/15 是 RFC 2544 的基准测试网段。它是保留地址，从不在公网上路由，不在 WARP 的排除列表里，普通网络也不会用它。IPv6 地址用 ULA（fd00::/8），理由相同。

为什么要有 IPv6，这个故事更有意思。v4 地址通了以后，我在手机上连着 wifi 测了一下，没问题，就当完事了。换到 5G 上，不通了。Agent 显示 connected ，隧道健康，Access 也没问题；wifi 上的测试已经证明了这些。问题在于现在的移动网络大多是纯 IPv6。手机根本没有原生 IPv4，是通过运营商的 464XLAT 转换器去访问那个 v4 字面地址的，而当 include 列表里只有一个 v4 前缀时，这个转换器位于隧道 之外 。流量就这么出了公网，而 198.18.0.0/15 在公网上不路由，于是被悄无声息地丢掉了。手机上没有报错，connector 的日志里什么也没有。

解法是给每台机器再配一个手机能原生通过 IPv6 访问的地址，并把它加进路由和 include 列表。现在我手机上的 SSH 客户端在移动数据下真正用的，就是 fd12:3456:789a:: 这组地址。

卸载：把笔记本当终端用

#

整套配置就是为这一部分存在的。

模型和微调。 Ollama 跑在 devbox 上，绑定 127.0.0.1:11434。办公室局域网里的其他机器都看不见它，更别说公网了。在笔记本上，它出现在 https://devbox-ollama.ssh.test，或者给需要端口的工具一个裸端口：

OLLAMA_HOST=127.0.0.1:11435 ollama list

用 11435 而不是 11434 是故意的：11434 是 Ollama 自己的默认端口，要是笔记本哪天也跑了个本地 Ollama，两者就会抢这个端口，而我会根据谁先启动，悄悄地从"本地"那个拿到 devbox 的回答。

实际效果是，我做 AI 功能时，它调用的模型跑在工作站的 GPU 上，而不是笔记本上，不管我人在哪儿。评估跑批、给一大堆文档做 embedding、跑一次微调：都在 devbox 上跑，笔记本的风扇一声不响。做 agent 原型时，可以让它指向工作站上的本地模型，反复跑工具调用也不产生 API 账单，等循环调顺了再换成托管模型。

长时间运行的 agent。 一个要跑一小时的 agent 会话，不该取决于我的笔记本盖子是不是一直开着。改在 devbox 上跑，笔记本就只是一扇看它的窗口：合上盖子，过会儿不管在哪儿 ssh devbox，或者从手机上连，它都还在。有隧道之前，这只在办公室里管用，而办公室恰恰是我最不需要它的地方。

构建和集群。 devbox 上的集群有自己的镜像仓库，所以镜像可以在工作站上构建和推送，就在它们运行的地方旁边，而不是用笔记本通过酒店 wifi 上传。集群仪表盘、ingress 仪表盘和镜像仓库的 UI，在笔记本上都是 *.ssh.test 主机名。

移动端的开发循环。 手机和笔记本在同一个私有网络里，笔记本的 dev server 还有挂在 Access 后面的公网主机名。所以我可以带着应用的原生构建走出大楼，连着 5G，它照样和我桌上跑着的 API 通信。或者和 devbox 上那个通信，如果我把它留在那儿的话。在真机、真实移动网络上的反馈循环，以前意味着部署到共享的 staging 服务器。现在意味着保存一个文件。

这里有个坑，最好在你把它当成应用 bug 去调之前就知道。Access 也保护着 WebSocket 主机名，而原生的 WebSocket 客户端不是浏览器。它不带 CF_Authorization cookie，所以原生构建连到 WebSocket 服务的连接会在边缘被一个 403 拒掉，看起来跟你自己服务器报的错完全不像。浏览器标签页没问题，因为登录后它们已经有了那个 cookie。对任何不是浏览器的东西（原生应用、脚本、调用 dev API 的 agent），答案是 Access 的 service token，以两个请求头的形式发送：

CF-Access-Client-Id:     <client_id>
CF-Access-Client-Secret: <client_secret>

这个 token 本身什么权限都不给。Access 只在策略里点了它名的应用上认它，所以它能触及的范围恰好就是那串 dev 主机名，一点不多。我把它的策略归在 non_identity 决策下，而不是 allow，这样在审计日志里它始终显示为一个持有者凭据，而不是某个登录进来的人。

公网永远看不到的数据

#

我想要的另一半是可观测性。能告诉你系统运行状况的东西，大多数本就不该公开，这没错。在 devbox 上，这些东西是：

• ingress 代理的仪表盘，以及装着它的链路追踪的追踪界面
• 管 Kubernetes 集群的仪表盘
• 容器镜像仓库的 UI（只读）
• Ollama 的模型列表和当前加载了哪些模型
• docker info 和容器统计数据

这些都没有公网主机名，以后也不会有。它们绑定在 loopback 或集群的 service IP 上，通过 SSH 转发访问，而这条转发本身又跑在隧道上。我手机上有个监控应用，经 WARP 通过 SSH 读取 docker info --format '{{json .}}'，所以不管在哪儿，我都能看到容器是不是都在跑，或者有没有什么东西把内存吃光了。

也正是这个应用让我发现了一个值得一提的小 bug。Mac 上那个隧道用的 sshd，还停留在我调试时设的 LogLevel DEBUG2。带 -e 时 sshd 把日志写到 stderr，而对一个会话来说，这个 stderr 就是 SSH 通道的 stderr。每条命令的输出后面都多了一行 debug2: do_setup_env: set TMPDIR，而手机应用会把两个流合并，于是拿到的是合法 JSON 后面跟着一行日志，解析失败，把整段显示成错误。改成 LogLevel INFO 就好了。调试完记得把日志级别改回去。

同样是刻意为之的，是我 不 放进这个网络的东西。旧的 autossh 隧道还能连到几台别人网络里的路由器，我帮忙照看着。它们没有公网主机名，也没有 WARP 路由。路由器管理页面挂在公网上，哪怕有登录挡着也是个隐患，而且那不是我的网络，轮不到我去扩大它的暴露面。

Access 不是可选项

#

Cloudflare Tunnel 的主机名，DNS 记录一建好就在公网上了。它前面没有防火墙；不开端口的全部意义就在这里。保护必须来自 Cloudflare 边缘，而这正是 Access 做的事。在访问者证明自己是谁之前，它根本不转发请求，所以没认证的扫描器永远到不了笔记本。这很重要，因为这些是 dev server：带着 settings 的调试模式报错页，一个敞开的 JavaScript bundler。这些主机名后面的东西，没有一样是为面对公网而做的。

策略只放行我自己的几个邮箱地址，别的一概不放，证明身份的方式有两种：邮件一次性 PIN 码和 SSO 单点登录。会话持续八小时，因为现实中的威胁是一台在咖啡馆里开着、带着一整天有效 cookie 的笔记本，而不是有人暴力破解 PIN 码。

SSH 被认证了两次，由两个互不知情的系统分别负责。Access 决定一条 TCP 流能不能到达 sshd；sshd 照样要我的密钥。丢了其中任何一个，机器都不会因此敞开。Mac 上的隧道 sshd 还信任 Cloudflare 的 SSH CA，所以 Access 可以用从我的 SSO 会话签发的短期证书让我登录，同时 authorized_keys 也照样能用，这样一份坏掉的 Access 配置也不会把我锁在自己的笔记本外面。

我最满意的是一个很小的部分。暴露发生在三件事同时成立的时候：一条 DNS 记录、一个在跑的 connector、一个已激活的 zone。它们在不同时间变为真，顺序也不由我控制；zone 会在 nameserver 改完之后过一阵子自己变成 active，那时 Mac 很可能正睡着。所以 launch agent 不直接跑 cloudflared。它先跑一个预检：从隧道自己的配置里读出主机名，问 Access API 哪些已经被覆盖，只要有一个没被覆盖就拒绝启动：

HOSTNAMES=$(grep -E '^\s*-\s*hostname:' "$CONFIG" | sed -E 's/.*hostname:\s*//' | sort -u)
PROTECTED=$(curl -fsS -H "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
    "https://api.cloudflare.com/client/v4/accounts/$CLOUDFLARE_ACCOUNT_ID/access/apps?per_page=100" \
    | python3 -c 'import sys,json; print("\n".join(a.get("domain","") for a in json.load(sys.stdin)["result"]))') \
    || { echo "could not reach the Access API. refusing (fail closed)."; exit 1; }

for h in $HOSTNAMES; do
    grep -qxF "$h" <<<"$PROTECTED" || { echo "NOT starting: $h has no Access app"; exit 1; }
done
exec cloudflared tunnel --config "$CONFIG" run

launch agent 设了 KeepAlive，所以被拒之后它每 30 秒自己重试一次，Access 应用一建好，隧道就自己起来了。失败时关闭，代价是一次宕机。失败时敞开，代价是一次暴露。我很清楚这两件事里我更愿意解释哪一件。

踩过的四个坑

#

上面这些现在都能用了。一路走来，四个坑里有三个是同一个模式：坏掉的那个东西在任何地方都不报错，而我能看到的部分全都显示健康。

路由和 include 列表是两份不同的列表。 隧道路由让 Cloudflare 愿意 把某个地址的流量送到正确的 connector。WARP 的 include 列表才决定客户端一开始会不会 发送 它。devbox 从手机上连不通，就是因为它的路由已经存在，但 include 列表里还只有 Mac 的地址。手机在本地就把包丢了，connector 从没见到过任何流量，所有仪表盘都是绿的。每加一台新机器，都要把它的地址同时加进这两处。

纯 IPv6 移动网络上的 IPv4 字面地址。 上面讲过了：wifi 上能用，5G 上失败，没有报错。如果一条 WARP 路由在 wifi 上能用、移动数据上不行，而 Agent 显示已连接，那是路由的问题，不是隧道的问题。

cloudflared 后面的 macOS sshd。 macOS 用 launchd 的 socket activation 启动 sshd，每个连接一个短命的 sshd -i。放在 cloudflared 后面时，banner 能到达客户端，但在客户端的标识字符串传回来之前，数据流就被拆掉了，所以每次登录都死在 kex_exchange_identification。我从两端都确认过，还用一个普通的 TCP 中继复现了出来，排除了 Cloudflare 的嫌疑。解法是另起一个独立的 sshd -D，监听 127.0.0.1:2222 和 WARP 的 loopback 地址，以我的用户身份运行，唯一的用途就是充当隧道的源站。系统设置里的远程登录原封不动。devbox 是 Linux，跑的是正常的常驻 sshd，从来没有这个问题。

不复存在的配置字段。 旧的示例在隧道配置里写着 warp-routing: enabled: true。cloudflared 2026.8 会直接拒绝这个字段。只要这个块存在、且有路由指向这条隧道，WARP 路由就是开着的。至少这个报了错，跟前面三个比起来，简直称得上厚道。

它改变了什么

#

老实说，总结起来就是：我不再根据硬件在哪儿来决定在哪儿干活。笔记本是一副好键盘、一块好屏幕，续航很长，它不需要比这更多。工作站不管我在哪儿都替我扛重活。手机是在真实网络上的真实测试设备，而不是拴在办公室 wifi 上的东西。而我用来观察系统在干什么的那些部分，对我来说一点就开，对别人来说根本不存在。

这个规模下，它在 Cloudflare 免费的 Zero Trust 套餐以内。花掉的是时间，外加一份我很庆幸写了的 README，因为上面那些故障，每一个第二次遇到时都会是一个全新的谜。

如果你在考虑搭类似的东西，下面是我会拿来问你的配置的几个问题：

1. 有哪些东西跑在你的笔记本上，只是因为笔记本是你唯一随时能连上的机器？
2. 你的手机能用移动数据访问你的 dev server 吗，而不只是在办公室 wifi 上？用 5G 测，别用 wifi。
3. 你的仪表盘里，有哪些是公开的，只因为那是从外面看它们最省事的办法？每一个都可以改成私有路由。
4. 如果明天某个隧道主机名起来了却没有对应的 Access 应用，什么会拦住它？如果答案是"我会记得"，那就把预检写出来。
5. 你的私有地址所在的网段，是你去过的那些网络永远不会用的吗？

• SSH可以在有人尝试登录时执行命令。这篇文章介绍怎么接入Slack，同时控制PAM的执行顺序。

Slack API的Webhook

#

• 怎么创建应用，看这里就行。

• 你需要先建一个Slack应用，启用Webhook，再创建一个Incoming Webhook，用来接收SSH发来的通知。

登录失败的通知脚本

#

• 脚本放在哪里都行，我放在了/var/opt/notify-attempt.sh。

#!/bin/bash
if [ "$PAM_TYPE" != "close_session" ]; then
        url="<YOUR SLACK WEBHOOK>"
        channel="#channel"
        host="$(hostname)"
        content="\"attachments\": [ { \"mrkdwn_in\": [\"text\", \"fallback\"], \"fallback\": \"SSH login: $PAM_USER connected to \`$host\`\", \"text\": \"SSH login to \`$host\`\", \"fields\": [ { \"title\": \"User\", \"value\": \"$PAM_USER\", \"short\": true }, { \"title\": \"IP Address\", \"value\": \"$PAM_RHOST\", \"short\": true } ], \"color\": \"#F35A00\" } ]"
        curl -X POST --data-urlencode "payload={\"channel\": \"$channel\", \"mrkdwn\": true, \"username\": \"SSH Notifications\", $content, \"icon_emoji\": \":inbox-tray:\"}" "$url" &
fi
exit

其他SSH事件

#

• 如果还想通知登录成功之类的事件，建议建两个文件。
• 每个文件里放好要发给Slack的JSON。
• 记得按事件改一下fallback\": \"SSH login: $PAM_USER connected to \$host`"`这一行。
• OpenSSH怎么调用这些脚本，看下面的配置就明白了。

配置ssh

#

登录成功的通知我注释掉了，想用的话取消注释，成功登录时也会发到Slack。 就是这一行：# auth optional pam_exec.so /var/opt/notify-login.sh

[success=2]的意思是：登录成功就往下跳两行，正好跳过了失败通知。

文件：/etc/pam.d/common-auth

# /etc/pam.d/common-auth - authentication settings common to all services
#
# This file is included from other service-specific PAM config files,
# and should contain a list of the authentication modules that define
# the central authentication scheme for use on the system
# (e.g., /etc/shadow, LDAP, Kerberos, etc.). The default is to use the
# traditional Unix authentication mechanisms.
#
# As of pam 1.0.1-6, this file is managed by pam-auth-update by default.
# To take advantage of this, it is recommended that you configure any
# local modules either before or after the default block, and use
# pam-auth-update to manage selection of other modules. See
# pam-auth-update(8) for details.
# here are the per-package modules (the "Primary" block)
auth  [success=2 default=ignore]   pam_unix.so nullok
auth  optional            pam_exec.so /var/opt/notify-attempt.sh
# here's the fallback if no module succeeds
auth  requisite            pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
# For successful login, uncomment the below line, ensure the file exists.
# auth  optional            pam_exec.so /var/opt/notify-login.sh
# auth  required            pam_permit.so
# and here are more per-package modules (the "Additional" block)
auth  optional            pam_cap.so
# end of pam-auth-update config

谢谢！

#

• 有任何问题或想法，欢迎直接联系我