团队与企业

连接私有网络

Grok Bot 计算机运行在 Cursor 云端，并通过共享静态出口 IP 地址。如果 Bot 所需的系统位于私有网络，可以通过成员的桌面设备转发流量，或通过以下功能在每台团队电脑上安装组织的网络客户端：Team Setup Scripts。

Team Setup Scripts 仅适用于 Enterprise。其他套餐不会显示此功能。Network Controls 也仅适用于 Enterprise。该网络策略是仍然适用的独立控制层；连接到私有网络不能替代目的地址允许列表。

您可以做什么

• 将成员的流量通过其桌面设备转发，让目标站点看到该设备的 IP 地址。解析为私网或 VPN 地址的站点仍会被阻止，除非组织已允许访问。
• 通过一份由管理员管理的清单，在每台团队计算机上自动安装网络客户端，无需逐台设置。
• 让 Bot 访问私有网络上的服务，而无需将这些服务暴露到互联网，也无需将共享出口 IP 加入允许列表。
• 始终由您掌控：使用您的网络、访问规则和身份提供商。您随时可以从自己的管理控制台撤销某台计算机的访问。

选择连接方式

通过成员的桌面电脑路由

在 Grok Bot 桌面应用中，打开 Settings → Computer，然后在 Your computer 下开启 Route traffic through this computer。流量使用当前设备的网络和 IP 地址。在本机关闭此设置即可停止转发；Enterprise 管理员也可关闭 Allow Local Egress Routing。

此路由不会向 Bot 开放你的私网。除非组织已允许访问，否则解析为私网或 VPN 地址的站点会被阻止。设置页面会显示本次会话中被阻止的站点数。要访问私有服务，请通过 Team Setup 安装网络客户端。

每位成员控制自己的桌面路由。Enterprise 管理员可以为整个团队移除此选项，入口位于Cursor 控制台中的 Grok Bot。参见通过桌面电脑路由流量。

通过 Team Setup 安装网络客户端

这套方案由你自行运维。Cursor 通过 Team Setup Scripts 在每台团队电脑上运行你的安装脚本。你负责安装和配置客户端、验证电脑身份、维护访问规则并跟进供应商的变更。Cursor 默认不安装任何客户端，也不会运行或监控你的网络客户端，仪表盘上不会显示客户端状态。软件的安装和配置请以供应商文档为准，本页介绍 Cursor 端的操作。

开始之前

• 你是 Enterprise 套餐的团队管理员。Team Setup Scripts 仅适用于 Enterprise，其他套餐不会显示此功能。
• 您的网络客户端可在基于 Debian 的 Linux 上运行，并可通过 shell 脚本安装和启动。团队计算机运行 Linux，脚本以计算机用户身份运行，并可使用 sudo。
• 您的网络为该客户端提供了入口：按照供应商架构，在需要访问的 VPC 或内网中部署网关、出口节点或隧道连接器。
• 你已确定电脑如何向网络验证身份。请勿在配置脚本中写入凭据。如果脚本需要凭据，请将其存为团队凭据。

团队设置如何运行脚本

Team Setup Scripts 位于 Bot Computers 下，此区域在 Grok Bot 页面中，可前往Cursor 控制台：其中的安装脚本清单会在每台团队计算机上运行。每份清单包含一个或多个脚本条目，每个条目都有ID、Setup Script（设置脚本），以及可选的Check Script（检查脚本）。若只需对某个群组的电脑运行清单，请在该群组的 Grok Bot 标签页下添加清单，详见群组设置。群组清单也遵循下列规则。

• 脚本在每台团队计算机上以计算机用户身份运行；需要特权的安装请使用 sudo。
• 脚本在计算机启动时运行，并在计算机运行期间定期刷新时运行，频率约为每天一次。
• 如果存在检查脚本且退出码为 0，则跳过设置脚本；可借此避免每次都重新安装。设置运行后会再次执行检查，以验证是否成功。
• 条目按顺序逐个运行。每个脚本的超时时间为 30 分钟。脚本失败不会阻止计算机运行；会在后续刷新时重试。
• 脚本可从环境变量读取团队凭据，因此所需凭据不会出现在清单中。凭据仅在脚本运行期间可用，脚本输出在写入日志前会进行脱敏。如果一台电脑从多个团队获取配置，则不会收到任何凭据。

创建清单

1. 前往Cursor 控制台中的 Grok Bot，找到 Team Setup Scripts，该项所属分组为 Bot Computers。
2. 在Manifests（清单）旁选择+以创建New Manifest（新清单），然后输入Manifest ID（清单 ID），例如 private-network。
3. 在脚本条目中设置ID（例如 install-network-client），并编写Setup Script（设置脚本）：按照供应商的 Linux 安装文档安装客户端，再按您的配置启动客户端并连接网络。
4. 可选：添加Check Script（检查脚本）（例如 command -v <your-client>），让已安装客户端的计算机跳过安装。
5. 选择Save（保存）。

如果更喜欢编辑 JSON，可在编辑器顶部从Form（表单）切换到JSON。清单结构如下：

{
  "manifestId": "private-network",
  "entries": [
    {
      "id": "install-network-client",
      "setup": "#!/usr/bin/env bash\nset -euo pipefail\n# 1) Install your networking client per your provider's Linux install docs\n# 2) Start the client and connect it to your network per your configuration",
      "check": "command -v <your-client>"
    }
  ]
}

不要将凭据值粘贴到脚本中。配置脚本以电脑用户身份在团队每台电脑上运行，清单是适用于所有已部署电脑的明文。如果需要认证密钥、token 或其他凭据，请将其保存为团队凭据，再从环境变量读取，例如 "$MY_AUTH_KEY"。如果供应商支持，最好让成员在电脑浏览器中交互式登录，以便应用身份提供方的策略。

设置网络客户端

无论使用哪种工具，最后一步都相同：每台计算机向您的网络验证身份，在供应商控制台中确认连接，再让 Bot 访问先前无法访问的内部主机名来验证。交互式登录在计算机浏览器中进行，与成员现有的操作方式相同：在其中登录公司工具。先用一两台试点计算机验证，再向整个团队推广。

Tailscale

在每台计算机上运行 Tailscale，并通过网络内的出口节点进行路由。此模式已使用该配置验证过。Tailscale 还提供子网路由器，用于开放特定私有地址范围；依赖这种配置前，请先在试点计算机上验证。

开始之前：您运营的 tailnet 在需要访问的 VPC 或内网中包含一个出口节点。

团队设置清单：

• 设置脚本：按照Tailscale 安装文档安装适用于 Linux 的 Tailscale，再按您的配置将计算机加入 tailnet。
• 检查脚本： command -v tailscale。

连接并验证：

1. 验证每台电脑。Tailscale 会输出登录 URL，可在电脑浏览器中打开，并应用身份提供方的策略。如果希望无需成员登录即可将电脑加入网络，请将可重复使用、带标签的认证密钥保存为团队凭据并从环境变量传入，例如 tailscale up --auth-key "$TS_AUTHKEY"。这样，所有团队电脑都使用同一密钥和同一组标签加入网络，不使用成员个人身份，因此请相应限制密钥的 ACL。切勿把密钥直接粘贴到脚本中。
2. 确认计算机出现在 Tailscale 管理控制台中，并被允许使用出口节点。
3. 让 Bot 访问内部主机名。

如果无法正常工作：

• 客户端已经安装，但还没有人完成身份验证。如果使用浏览器登录，则需手动完成；如果使用认证密钥，请检查团队凭据是否存在、名称与脚本读取的名称是否一致，以及密钥是否过期。请查看 Tailscale 管理控制台中的设备列表。
• 团队的网络策略仅允许许可名单中的地址，阻止了 Tailscale 的协调服务器或中继。请放行 Tailscale 文档中列出的端点。运行中的电脑约一分钟内会应用更改，休眠中的电脑则在下次唤醒时应用。
• tailnet 中未公布或批准出口节点。请检查管理控制台中的路由设置。
• 计算机已重建，例如在镜像更新或重置后，会话未保留。请重新验证身份。

Cloudflare Tunnel

相同的团队设置机制也适用于Cloudflare Tunnel：网络内的 cloudflared 连接器通过 Cloudflare 边缘网络发布私有服务，并由 Cloudflare Access 保护，计算机通过主机名访问这些服务。这种配置尚未像 Tailscale 配置一样在团队计算机上验证过，因此推广前请先在试点计算机上验证。

开始之前：你在私有网络中运行了 Cloudflare Tunnel 连接器，所需服务通过它路由，并已选定 Cloudflare Access 策略。基于身份的策略适合这种方式，因为成员通过浏览器登录。Access 服务 token 属于凭据，如果使用，应将其保存为团队凭据，而不要写入配置脚本。

团队设置清单：

• 设置脚本：安装 cloudflared，参照Cloudflare 下载文档。计算机上只安装客户端；连接器仍位于您的网络内部。
• 检查脚本： command -v cloudflared。

连接并验证：

1. 私有 HTTP 服务：通过已路由至隧道的主机名访问。Cloudflare Access 执行您的策略；采用基于身份的策略时，成员通过计算机浏览器登录。
2. 私有 TCP 服务，例如数据库或 SSH：运行 cloudflared access tcp，在计算机上开启本地监听器，并让工具连接该监听器。Cloudflare 文档介绍了此流程。Bot 需要服务时，可在 shell 中启动监听器。
3. 让 Bot 访问私有主机名或服务。

如果无法正常工作：

• 您网络内部的连接器已停止运行。请在 Cloudflare 控制台检查隧道健康状况；故障发生在您这一侧，而非计算机一侧。
• Cloudflare Access 拒绝请求。请检查 Access 日志，并确认成员已完成身份验证。
• 团队的网络策略仅允许许可名单中的地址，阻止了隧道主机名或 Cloudflare 的端点。请放行这些地址。运行中的电脑约一分钟内会应用更改，休眠中的电脑则在下次唤醒时应用。
• 配置脚本中嵌入了服务 token。清单是明文的，请勿这样做。请使用基于身份的 Access，或将 token 保存为团队凭据，让脚本从环境变量读取。
• 所需的 cloudflared access tcp 监听器在 Bot 需要时未运行。监听器不会跨会话持久存在；请在需要时启动。

选择依据：Tailscale 让计算机获得网络级访问能力，配合出口节点还可从您的网络出口发送流量。Cloudflare Tunnel 则通过 Cloudflare 边缘网络发布受 Access 保护的特定服务，作用范围是单个服务而非整个网络，其他服务看到的出口地址不会改变。

其他能在基于 Debian 的 Linux 上安装运行的客户端遵循相同的团队设置步骤；推广前请先在试点计算机上验证。

推广到现有计算机

• 新电脑在启动时应用清单。
• 运行中的电脑会在定期刷新时获取清单更改，频率约为每天一次。
• 如需让清单更改立即生效，可以重建电脑或让成员从桌面应用重置。Enterprise 管理员可从仪表盘重建或终止成员的电脑。持久磁盘会保留，新电脑在启动时将应用最新清单。
• 镜像更新会自动重建计算机，脚本也会重新应用。计算机重建后，登录会话（包括网络客户端登录）可能需要重新建立。

配合网络策略使用

Grok Bot 的网络策略是独立的控制层，决定团队计算机可以访问哪些目的地址。如果团队使用Team allowlist only（仅团队允许列表），请根据供应商文档添加网络客户端所需的目标，例如协调服务器、中继和网关。运行中的电脑约一分钟内会应用策略更改，休眠中的电脑则在下次唤醒时应用。无需重新创建电脑。

限制

• 此模式由您运营，并非 Cursor 管理的网络模式。Cursor 不安装、运营或监控您的网络客户端，客户端本身的支持由供应商提供。
• 除非将流量路由经过自己的网络，否则普通互联网流量仍从 Cursor 的共享静态 IP 范围出口发送。不提供每位客户专用的出口 IP。
• 目前没有整个计算机群的脚本结果视图。向整个团队推广前，请先验证试点计算机。
• 这不是 Cloud Agents 的设置。Cloud Agents 文档有独立的Tailscale和Cloudflare Tunnel配置指南，针对的是另一种产品功能；Grok Bot 计算机通过本页所述的团队设置进行配置。如果 Grok Bot 将工作委派给 Cloud Agents，这些智能体遵循 Cloud Agent 网络设置，而非您的计算机网络客户端配置。

常见问题

能否在设置脚本中放入身份验证密钥或凭据？

不要写进脚本。清单是明文，仪表盘也会提示不要在其中粘贴凭据。请在 Grok Bot 页面将凭据保存为团队凭据，并让脚本以环境变量的形式读取。团队凭据仅适用于 Enterprise。如果供应商支持，最简单的方式仍是使用浏览器交互登录，这样会应用身份提供方的策略。

可以使用哪些网络工具？

任何团队能通过 shell 脚本在基于 Debian 的 Linux 上安装并运行的客户端。Tailscale 和 Cloudflare Tunnel 是本页提供的示例。请先在试点计算机上验证您的客户端。

现有计算机会获得新清单吗？

会。运行中的电脑会定期刷新清单，频率约为每天一次。要立即应用清单更改，请重新创建电脑，或让成员在桌面应用中重置电脑。

这会改变我的服务看到的 IP 地址吗？

对于经过您网络路由的流量，会。发往私有网络的流量通过出口节点、网关或隧道连接器，从网络内部抵达。其他流量仍从 Cursor 的共享静态 IP 范围出口发送。

我们使用严格的网络允许列表，客户端还能工作吗？

只有放行其端点后才可以。将客户端所需的目标添加到团队许可名单。运行中的电脑约一分钟内会应用更改，休眠中的电脑则在下次唤醒时应用。

这与 Cloud Agents 文档中的 Tailscale 和 Cloudflare Tunnel 章节相同吗？

不同。那些配置指南专用于 Cloud Agent VM，其中 Tailscale 需要用户空间网络和代理变量。Grok Bot 计算机使用本页所述的团队设置及您自己的网关或连接器。

哪些套餐包含 Team Setup Scripts？

Team Setup Scripts 仅适用于 Enterprise。团队管理员负责管理清单。如果在仪表盘的 Grok Bot 页面看不到此项，说明你没有使用 Enterprise，或需要由客户团队为组织启用 Grok Bot。

如果设置脚本在部分计算机上失败，会怎样？

计算机仍会启动。失败的条目会在后续刷新时重试。请确保脚本可重复运行，并使用检查脚本，让状态正常的计算机跳过安装。

相关页面

• 面向团队和企业的 Grok Bot
• Grok Bot 安全
• 配置身份与访问
• 配置 TLS 检查代理，适用于成员设备到 Cursor 之间的连接
• Cloud Agents：运行 Tailscale和运行 Cloudflare Tunnel