适用场景
用专门软件连接的服务：Windows 远程桌面（3389）、SSH（22）、数据库、PLC/工控软件端口等。
网站、网页后台、接口请用 HTTP/HTTPS，不要用 TCP，见 发布网站。
前置条件
- 已购买支持 TCP 的套餐。
- 在内网能连上这个服务，并记下 IP 和端口。例如远程桌面
192.168.1.30、端口3389。 - 服务本身有登录密码（远程桌面账号、SSH 密码或密钥），并且密码足够复杂。
操作步骤
第 1 步：配置 TCP 隧道
- 控制台左侧点“隧道”，在要用的隧道右侧点“配置”。
- 协议选“TCP · 非网站服务”。
- 内网地址填服务所在电脑的 IP，端口填服务端口（远程桌面
3389，SSH22）。 - “真实访客 IP 透传”保持“关闭（保持原始 TCP 字节流）”，然后保存。
成功后会看到：隧道的“访问地址”显示为“公网地址:端口”。这个端口是平台分配的，和内网端口不一样。
第 2 步：运行客户端
在能连到该服务的内网电脑上运行客户端，启动这条隧道。见 Windows 图形客户端 或 第一次使用 第 4 步。
第 3 步：从外网连接
用手机热点或家里的网络，按服务类型连接控制台显示的公网地址和端口：
- Windows 远程桌面：打开“远程桌面连接”，计算机一栏填
公网地址:端口（例如控制台显示的那一串，冒号要用英文冒号），再输入那台电脑的 Windows 账号密码。 - SSH：
ssh -p 控制台分配的端口 用户名@控制台显示的公网地址
成功后会看到：出现远程电脑的登录界面或 SSH 命令提示符。
第 4 步（建议）：只允许自己的网络访问
远程桌面、数据库直接暴露在外网有风险。在控制台左侧点“安全”，给这条隧道添加你常用网络的公网 IP，并切换到“白名单模式”。操作见 黑白名单。
成功检查
- 用控制台给的地址和端口能连上，并且要输入密码才能进入。
- 设置白名单后，白名单内的网络能连，换一个网络（如手机流量）连不上。
常见错误
| 现象 | 怎么办 |
|---|---|
| 连接时填了 3389 或 22 连不上 | 要用控制台分配的公网端口 |
| 用浏览器打开提示 403“该隧道不支持网页访问” | TCP 隧道不能用浏览器访问；网页服务请改用 HTTPS/HTTP |
| 远程桌面提示无法连接 | 先在内网用同样的 IP 连一次；检查目标电脑已开启远程桌面、防火墙放行 3389 |
| 打开“真实访客 IP 透传”后连不上 | 远程桌面、SSH、数据库不支持这个功能，改回“关闭”后重连 |
| 改了白名单，原来已连上的会话没断开 | 规则只对新连接生效，重新连一次验证 |
TCP 隧道只转发连接，不会自动加密数据，也不会替你校验身份，务必使用强密码。