Grok Bot 電腦運行在 Cursor 雲中，並通過共享靜態出站 IP 地址訪問互聯網。如果機器人需要訪問的系統 (例如內部 API、源代碼控制、數據庫或預發佈環境) 位於私有網絡中，你可以通過 Team Setup 在每臺團隊計算機上安裝組織的網絡客戶端來建立連接。Tailscale 和 Cloudflare Tunnel 是常見選擇，本頁分別提供了這兩者的實操示例。其他可在 Linux 上運行的 VPN、零信任或網狀網絡客戶端同理。這樣一來，你的服務無需暴露在公共互聯網上，訪問權限仍由你現有的訪問控制和身份提供商管理。
Team Setup 僅限企業版。 其他方案中不提供該功能。
Network Controls 同樣僅限企業版。 該
網絡策略是另一個獨立層級，同樣依然生效；
能夠連通私有網絡並不代表可以省去導出目標允許列表。
你可以做什麼¶
- 通過一份由管理員管理的清單，自動爲每臺團隊計算機安裝網絡客戶端，無需逐臺設置。
- 讓機器人訪問私有網絡中的服務，無需把這些服務暴露到公網，也無需將共享出站 IP 加入允許列表。
- 控制權始終在你手中。 你的網絡、你的訪問規則、你的身份提供商。你隨時可以在自己的管理控制台中撤銷某臺計算機的權限。
由你自行運維的模式¶
這是一種由你自行運行的模式，而非 Cursor 託管的網絡模式。Cursor 只提供接入鉤子：Team Setup 會在每臺團隊計算機上運行你的安裝腳本。其餘工作都由你負責：安裝客戶端、完成配置、爲計算機進行認證、維護訪問規則，以及跟進供應商的變更。Cursor 默認不安裝任何內容，既不運維也不監控你的網絡客戶端，儀表盤中同樣不會顯示客戶端狀態。安裝和配置其軟件時，請以供應商的文檔爲準；本頁只介紹 Cursor 這一側的內容。
開始之前¶
- 你是企業版方案的團隊管理員。Team Setup 僅限企業版，其他方案不會顯示。
- 你的網絡客戶端運行在基於 Debian 的 Linux 上，且可通過 shell 腳本安裝和啓動。團隊計算機運行 Linux，腳本以計算機用戶身份運行，可使用
sudo。 - 你的網絡爲該客戶端提供了接入通道：按照廠商的架構，在你要訪問的 VPC 或內網中部署網關、出口節點或隧道連接器。
- 你已確定計算機以何種方式向網絡進行認證。請勿將憑據寫入設置腳本。
Team Setup 如何運行你的腳本¶
Team Setup 位於 Cursor 儀表盤的 Grok Bot 頁面：其中是在每臺團隊計算機上運行的安裝腳本清單。每份清單包含一個或多個腳本條目，每個條目都有 ID、Setup Script 和可選的 Check Script。
- 腳本在每臺團隊計算機上以計算機用戶的身份運行；如需特權安裝，請使用
sudo。 - 腳本在計算機啓動時運行，並在計算機運行期間定期刷新 (大約每天一次) 時運行。
- 如果存在 Check Script 且退出碼爲 0，則跳過 Setup Script；可藉此避免每輪都重新安裝。Setup Script 運行結束後，會再次運行 Check Script 以驗證是否成功。
- 條目按順序逐個運行。每個腳本的超時時間爲 30 分鐘。腳本失敗不會阻塞計算機，會在後續刷新時重試。
創建清單¶
打開 Team Setup¶
前往 Cursor 儀表盤中的 Grok Bot，
並打開 Team Setup。
創建清單¶
在 Manifests 旁點擊 + 創建 New Manifest，然後
輸入 Manifest ID，例如 private-network。
編寫設置腳本¶
在腳本條目中設置 ID (例如
install-network-client) ，並編寫 Setup Script：按照提供方的
Linux 安裝文檔安裝客戶端，然後啓動它，並按照你的配置要求將其接入網絡。
添加檢查腳本¶
可選擇添加 Check Script (例如
command -v <your-client>) ，讓已安裝客戶端的計算機
跳過安裝步驟。
保存¶
點擊 Save。
更習慣直接編輯 JSON？在編輯器頂部將 Form 切換爲 JSON。清單結構如下：
{
"manifestId": "private-network",
"entries": [
{
"id": "install-network-client",
"setup": "#!/usr/bin/env bash\nset -euo pipefail\n# 1) Install your networking client per your provider's Linux install docs\n# 2) Start the client and connect it to your network per your configuration",
"check": "command -v <your-client>"
}
]
}
請勿包含機密信息。設置腳本會以計算機用戶身份在每臺團隊計算機上運行，
清單是純文本，並會應用到你的整個計算機羣組。
不要嵌入認證密鑰、token 或其他憑據。請讓成員在計算機的瀏覽器中
以交互方式完成認證，這樣你的身份提供商策略才能生效；或採用供應商文檔中
提供的、可避免將長期憑據寫入腳本的機制。
配置網絡客戶端¶
無論使用哪種工具，最後一步都是相同的：每臺計算機向你的網絡進行認證，你在供應商的控制台中確認該連接，然後讓 Bot 訪問此前無法訪問的內部主機名來進行驗證。交互式登錄在計算機的瀏覽器中完成，與成員平時在那裏登錄公司工具的方式一致。先用一兩臺計算機試點，再推廣到整個團隊。
Tailscale¶
在每臺 computer 上運行 Tailscale，並通過你網絡內部的出口節點進行路由。這正是該 pattern 經過實踐驗證的配置方式。Tailscale 還提供子網路由器，用於暴露特定的私有網段；在正式採用該方案前，請先在一臺試點 computer 上驗證。
開始之前： 你已運營一個 tailnet，並在需要訪問的 VPC 或內網中部署了出口節點。
Team Setup 清單：
- Setup Script： 參照 Tailscale 的安裝文檔安裝 Linux 版 Tailscale，然後按你的配置將該 computer 接入 tailnet。
- Check Script：
command -v tailscale。
連接並驗證：
- 對每臺 computer 進行認證。Tailscale 會輸出一個登錄 URL，在 computer 的瀏覽器中打開，此時會應用你的身份提供商策略。不要把 auth key 寫進腳本。
- 確認該 computer 出現在你的 Tailscale 管理控制台中，並已被允許使用出口節點。
- 讓 Bot 嘗試訪問一個內部 hostname。
如果無法正常工作：
- 客戶端已安裝，但沒有人完成認證。登錄這一步是刻意保留爲手動的，因爲腳本無法保存機密信息。請在 Tailscale 管理控制台中查看機器列表。
- 你的團隊網絡策略爲僅允許列表模式，攔截了 Tailscale 的協調服務器或中繼。請放行 Tailscale 文檔中列出的端點，然後重新創建該 computer。
- 出口節點未在 tailnet 中通告或未獲批准。請在管理控制台中檢查路由設置。
- computer 被重新創建 (例如鏡像更新或重置之後) ，會話未能保留。請重新認證。
Cloudflare Tunnel¶
同樣的 Team Setup 機制也適用於 Cloudflare Tunnel：網絡內部的 cloudflared 連接器通過 Cloudflare 邊緣發佈私有服務，並由 Cloudflare Access 保護，computer 則通過 hostname 訪問這些服務。該方案尚未像 Tailscale 方案那樣在團隊 computer 上經過充分驗證，因此在全面推廣前請先在一臺試點 computer 上驗證。
開始之前： 你已在私有網絡內運行 Cloudflare Tunnel 連接器，並將所需服務經其路由，同時選定了 Cloudflare Access 策略。基於身份的策略很契合這一 pattern，因爲成員會通過瀏覽器登錄。Access 服務令牌屬於機密信息，不要寫進 setup 腳本。
Team Setup 清單：
- Setup Script： 參照 Cloudflare 的下載文檔安裝
cloudflared。computer 上只安裝客戶端；連接器仍留在你的網絡中。 - Check Script：
command -v cloudflared。
連接並驗證：
- 私有 HTTP 服務：通過你經隧道路由的 hostname 訪問。Cloudflare Access 會執行你的策略；採用基於身份的策略時，成員通過 computer 的瀏覽器登錄。
- 私有 TCP 服務 (如數據庫或 SSH) ：在 computer 上運行
cloudflared access tcp打開一個本地監聽端口，並讓工具指向它。Cloudflare 的文檔介紹了完整流程。Bot 需要該服務時，可以在自己的 shell 中啓動監聽。 - 讓 Bot 嘗試訪問該私有 hostname 或服務。
如果無法正常工作：
- 你網絡中的連接器已下線。請在 Cloudflare 控制面板中查看隧道健康狀況；這是你這一側的問題，而非 computer 的問題。
- Cloudflare Access 拒絕了請求。請查看 Access 日誌，並確認該成員已完成認證。
- 你的團隊網絡策略爲僅允許列表模式，攔截了隧道 hostname 或 Cloudflare 的端點。請放行它們，然後重新創建該 computer。
- 服務令牌被嵌入到了 setup 腳本中。請不要這樣做；清單是純文本。改用基於身份的 Access，或在使用時再提供令牌。
- Bot 需要時，
cloudflared access tcp監聽未在運行。監聽不會跨會話保留，需要時再啓動。
如何選擇：Tailscale 讓計算機獲得網絡層面的可達性，若配合出口節點，還能從你的網絡出站。Cloudflare Tunnel 則通過 Cloudflare 邊緣、在 Access 之後發佈特定服務：粒度是單個服務而非整個網絡，且其他服務看到的出站地址不會變化。
其他可在基於 Debian 的 Linux 上安裝並運行的客戶端同樣遵循上述 Team Setup 步驟；在全面推廣前，請先在一臺試點計算機上驗證。
向現有 computer 推送¶
- 新建 computer 會在創建時應用清單。
- 運行中的 computer 會在週期性刷新時獲取清單更改，最長可能需要約一天。
- 如需立即生效， 請重新啓動或重新創建該 computer。成員可在桌面端應用中重置自己的 computer，組織管理員可在儀表盤中終止某個成員的 computer。durable disk 會保留，下一個 session 會啓動一臺全新的 computer，並在啓動時應用當前清單。
- 鏡像更新會自動重新創建 computer，你的腳本也會重新應用。computer 重新創建後,包括網絡客戶端登錄在內的登錄 session 可能需要重新建立。
配合網絡策略使用¶
Grok Bot 的網絡策略是一個獨立層，用於控制團隊計算機可訪問哪些導出目標。如果你的團隊使用僅團隊允許列表，請參照供應商文檔，添加網絡客戶端所需的導出目標，例如協調服務器、中繼和網關。網絡策略的更改會在計算機創建或重新創建時生效。
侷限性¶
- 這是一種由你自行運維的方案，而非 Cursor 託管的網絡模式。Cursor 不會安裝、運行或監控你的網絡客戶端，客戶端本身的支持由其供應商提供。
- 除非你將流量路由到自己的網絡，否則常規互聯網流量仍會通過 Cursor 的共享靜態 IP 段出站。暫不提供按客戶專屬的出站 IP。
- 目前還沒有可查看整個設備羣腳本結果的視圖。在全團隊推廣前，請先在一臺試點電腦上驗證。
- 這與雲端代理的設置無關。雲端代理文檔面向的是另一種產品形態，有各自的 Tailscale 和 Cloudflare Tunnel 方案；Grok Bot 電腦則按本文所述通過 Team Setup 進行配置。如果 Grok Bot 將工作委派給雲端代理，這些 agents 會在雲端代理的網絡設置下運行，而不受你電腦上網絡客戶端的影響。
常見問題¶
我可以把認證密鑰或憑據放進設置腳本里嗎？¶
不可以。設置腳本並非機密信息存儲，儀表盤也會提示不要在其中包含機密信息。請以交互方式爲電腦完成認證，或採用供應商文檔中無需在腳本內嵌入長期憑據的機制。
我可以使用哪些網絡工具？¶
只要是您的團隊能通過 shell 腳本在基於 Debian 的 Linux 上安裝並運行的客戶端均可。本頁以 Tailscale 和 Cloudflare Tunnel 爲例。建議先在一臺試點計算機上驗證您的客戶端。
已有的電腦會獲得新的清單嗎？¶
會，大約一天內生效。運行中的電腦會定期刷新清單。重啓或重新創建電腦可立即應用更改。
這會改變我的服務看到的 IP 地址嗎？¶
對於經由您的網絡路由的流量，會。發往您私有網絡的流量來自您的網絡內部，經由您的出口節點、網關或隧道連接器。其餘流量仍從 Cursor 的共享靜態地址段出站。
我們使用嚴格的網絡允許列表。我們的客戶端能正常工作嗎？¶
只有在您放行其端點後纔可以。請將客戶端所需的導出目標添加到團隊允許列表，然後重新創建電腦以應用策略更改。
這和雲端代理文檔中的 Tailscale 與 Cloudflare Tunnel 分區是一回事嗎？¶
不是。那些方案專用於雲端代理 VMs；其中的 Tailscale 需要 userspace networking 和代理變量。而 Grok Bot 電腦使用 Team Setup 以及您自己的網關或連接器，即本頁所述方式。
哪些套餐包含 Team Setup？¶
Team Setup 僅限企業版。 清單由團隊管理員管理。如果您在儀表盤的 Grok Bot 頁面上看不到它，說明您使用的不是企業版，或者需要您的賬戶團隊爲該組織啓用 Grok Bot。
如果設置腳本在某些電腦上失敗會怎樣？¶
電腦仍會啓動。失敗的條目會在後續刷新時重試。請保持腳本可重複運行，並使用 Check Script，讓狀態正常的電腦跳過安裝。
相關頁面¶
- Grok Bot 安全
- 面向 Teams 和企業版的 Grok Bot
- 配置身份與訪問
- 配置 TLS 檢查代理，適用於從成員設備到 Cursor 的路徑
- 雲端代理：運行 Tailscale 和 運行 Cloudflare Tunnel
