Grok Bot 桌面應用會從每位成員的設備連接到兩個目標：一是 Cursor 的 API (*.cursor.sh) ，用於聊天、登錄和批准；二是成員的託管計算機，其主機名爲多級形式的 *.*.cursorvm.com，用於計算機設置、屏幕和 shell。檢查 TLS 的安全網頁網關往往放行前者卻阻斷後者。此時桌面應用會在計算機設置過程中卡住或報錯；在某些環境下，聊天照常可用，計算機卻始終連不上。Zscaler 是最常見的例子，本頁面以它爲例進行具體說明；相同的步驟同樣適用於任何會重新簽發 TLS 或緩衝響應的網關。本頁面面向負責運維網關的 IT 團隊。通用域名列表和流式測試見企業版網絡配置；本頁面僅說明 Grok Bot 額外涉及的內容。
本頁面講的是從成員設備到 Cursor 的路徑，不會改變託管計算機自身可連接的目標；
那屬於網絡策略。若要從該計算機訪問
你私有網絡上的服務，請參閱
連接到私有網絡。
症狀¶
- 計算機設置卡住或失敗。 應用始終無法完成與 computer 的連接。聊天 可能仍然正常，因爲它可以訪問
api2.cursor.sh，也可能一同卡住；無論哪種情況，computer 的連接都需要cursorvm.com。 - 在熱點或個人設備上正常，但在企業網絡中或網關客戶端運行時失敗。
- 在辦公室正常，在家失敗。 例外規則僅對辦公室所在位置生效。參見應用到每個配置文件。
- 登錄或 聊天 同樣卡住。
cursor.sh上的 TLS 檢查或響應緩衝仍處於啓用狀態。
允許這些域名模式¶
請在網關和所有 DNS 過濾中放行以下全部條目。建議使用通配符，而不是逐一列舉主機名；計算機主機名是按每臺計算機生成的。
| 模式 | 用途 |
|---|---|
*.cursor.sh |
聊天、登錄、批准以及其他 Cursor API |
*.cursor-cdn.com |
靜態資源 |
*.cursorapi.com |
擴展市場及相關 API |
*.cursorvm.com |
託管計算機及其控制平面 |
*.*.cursorvm.com |
同上，但深一級。必需。 |
cursor.com、downloads.cursor.com |
安裝和更新桌面應用 |
兩個 cursorvm.com 模式都要添加。計算機主機名在 cursorvm.com
之下有兩級標籤，形式爲 <computer>.<cluster>.cursorvm.com，而單級通配符只能匹配一級。只配置
*.cursorvm.com 的網關看起來沒問題，但計算機仍然無法訪問。這正是在已放行 cursor.sh
的網絡中計算機設置失敗的常見原因。
將這些域名同樣排除在 TLS 檢查和緩衝之外¶
僅放行流量還不夠。對上述每個域名：
- 跳過 TLS (SSL) 檢查。 當網關用自有證書重新簽發連接時，即使主機名已放行，計算機設置握手仍會失敗。Cursor 的連接本身已是端到端加密。
- 關閉響應緩衝。 聊天和計算機連接均採用流式傳輸。如果網關要等響應完整後才放行，應用就會一直等待永遠不會到達的輸出。
如果貴方策略要求檢查全部流量，網關必須滿足 SSL 檢查與 DLP 中的要求：支持 HTTP/2 或 Cursor 的 HTTP/1.1 回退、無緩衝的 Server-Sent Events 透傳，以及不強制超時的長連接。
應用到每個配置文件，包括離網場景¶
設備離開辦公室後，Zscaler Client Connector 仍會繼續運行，並轉而應用自己的離網配置文件。只添加到辦公地點或單個策略中的例外，不會隨設備一起生效到家中。請將允許規則、TLS 檢查豁免以及所有 DNS 例外應用到 Grok Bot 成員所屬的每一個位置、配置文件和策略羣組，包括漫遊和離網場景。其他爲在網和離網設置了獨立策略的網關，也需要做同樣的處理。
典型跡象：同一檯筆記本電腦上，Grok Bot 在辦公室能正常使用，在家卻用不了，而網關客戶端始終在運行。
從成員設備上驗證¶
在 IT 完成更改後，在運行着網關客戶端的成員設備上執行以下操作。
檢查證書由誰頒發¶
curl -v https://api2.cursor.sh |& grep -C1 issuer:
頒發方應爲 Amazon RSA。如果顯示的是 Zscaler 或你的網關廠商，說明該設備的
配置文件仍對 cursor.sh 啓用了 TLS 檢查。
檢查計算機主機名能否解析¶
nslookup test.us9.cursorvm.com
應當能返回地址。如果解析失敗，請嘗試
nslookup test.us9.cursorvm.com 1.1.1.1。如果公共解析器能返回結果
而默認解析器不能，說明攔截來自設備的 DNS 或網關配置文件，
且其中缺少嵌套的 *.*.cursorvm.com 例外。
測試流式傳輸¶
運行
測試代理連通性
中的 HTTP/1.1 與 HTTP/2 流式測試。輸出應逐行到達，而不是一次性全部返回。
在應用中重試¶
在同一臺設備上打開 Grok Bot 桌面應用並連接到該計算機。如果仍然失敗，
請從該設備重複上述檢查；若熱點網絡可用而企業網絡失敗，即可確認問題出在
網絡上。
適用範圍¶
以下三項控制容易混淆：
| 你的需求 | 使用 |
|---|---|
| 讓成員設備通過你的網關訪問 Cursor 及其 託管計算機 | 本頁 |
| 限制 託管計算機 可訪問的目標 | 網絡策略，僅限企業版 |
| 讓 託管計算機 訪問你私有網絡中的服務 | 連接到私有網絡，僅限企業版 |
託管計算機 自身的流量從 Cursor 的共享靜態出口 IP 地址發出，不會經過成員設備上的網關。
FAQ¶
我們已將 *.cursorvm.com 加入允許列表，爲什麼計算機設置仍然失敗？¶
通常有兩個原因。一是缺少嵌套的 *.*.cursorvm.com 模式，導致 computer 的
主機名 無法匹配；二是該域名雖已放行，但仍被 TLS 檢查，網關證書會導致
設置階段的 握手 失敗。請添加嵌套 模式，並將兩個 模式 都排除在檢查之外，
然後運行檢查。
我們已放行 cursor.sh，爲什麼這不包含 computer？¶
兩者使用的 主機名 不同。聊天、登錄和批准都走 api2.cursor.sh，
大多數網關默認已放行；而 computer 連接走的是嵌套的 cursorvm.com 主機名，
需要單獨的允許規則和檢查豁免。這也是爲什麼在某些網絡中 聊天 可以正常使用，
而 computer 始終無法連接。
在辦公室可以用，但在家裏不行。有什麼區別？¶
在家時網關客戶端仍在運行，而它使用的離網配置文件並未包含這些例外規則。
請將例外同樣應用到漫遊配置文件和離網配置文件。
我們的策略要求對所有流量進行 TLS 檢查。¶
那麼網關必須原樣放行流式傳輸流量。相關要求參見
SSL 檢查與 DLP。
豁免 Cursor 的域名是最可靠的做法；Cursor 的 連接 本身已是端到端加密。
這個列表同樣適用於 Cursor editor 嗎？¶
是的，它與企業版網絡配置中的列表相同。
編輯器的 聊天 和 Tab 功能不依賴 cursorvm.com 模式 也能正常使用，
因此對編輯器沒問題的網關，仍可能導致 Grok Bot 無法使用。
相關頁面¶
需要網關配置方面的幫助？¶
聯繫我們的團隊，獲取部署協助與優先支持。
