nagent 远程访问通道完成 v1.7.1 加固
nagent 远程访问通道完成 v1.7.1 加固：防护名单单一来源、策略持久化、递增拦截，功能自测 36 项全通过，线上实例已完成升级。
日期：2026-09-17 ｜ 归属：nagent 产品线
解决了什么问题
远程访问通道的安全防护可靠性此前存在三个薄弱环节，都会在长期运行中放大为可用性风险：
- 防护名单各维护一份 —— 容易出现「把自己人也拦在外面」的误封，且远程办公场景下自伤代价高；
- 防护策略只存在于运行内存中 —— 进程一旦重启，已生效的防护全部清空，反复出现的异常来源可以靠「等一次重启」自动脱身；
- 拦截力度是固定的 —— 对持续、反复的异常访问，拦一次与拦十次成本相同，缺少对惯犯的抑制机制。
怎么解决的
v1.7.1 围绕这三点做了针对性加固，同时把拦截动作往前移了一层：
| 改进 | 效果 |
|---|---|
| 防护名单单一来源 | 只需维护一份名单，系统自动跟随；名单内来源在全部防护路径中永远不被拦截，从机制上消除自伤风险 |
| 防护策略持久化 | 防护状态落盘保存，进程重启后自动恢复，并对已过期条目自动清理 —— 不再存在「重启即失效」的窗口 |
| 递增拦截策略 | 同一来源反复触发时，拦截时长逐次翻倍（上限 7 天），惯犯成本呈指数上升 |
| 拦截动作前移 | 判定与执行分离，拦截在更靠近网络层的位置生效，异常流量在进入应用层之前即被阻断 |
三项改进全部集中在客户端侧，服务端组件零改动 —— 因此既有部署不受影响，升级可以按实例分批推进。
验收结果
| 验收项 | 结果 |
|---|---|
| 功能自测 | 36 项全部通过，覆盖名单匹配、网段匹配、递增策略、持久化、事件落盘与向后兼容 |
| 跨重启验证 | 递增策略在进程重启后继续累积，验证持久化有效 |
| 线上部署 | 两处远程访问实例均已完成升级，启动后确认新版本已生效 |
| 实网验证 | 对真实异常访问完成识别与拦截，拦截结果已落到网络层；名单内来源全程未被拦截 |
| 兼容性 | 服务端组件零改动，旧版本客户端可平滑共存 |
| 环境清理 | 验证用测试地址已全部解封，测试数据已清除，不影响真实防护状态 |
后续安排
- 其余按服务端角色部署的实例，因三项改进均不涉及服务端，可按计划择期升级，无需强推；
- 同步完成部署目录的规范化整理，使各服务目录结构统一，便于后续统一运维与版本留档；
- 后续版本继续围绕「稳定、可审计、防误伤」三个方向推进。
志睿源（重庆）软件有限公司 · nagent 产品线进展