把本机 DeepSeek Harness 搬到阿里云 ECS，难点不在装，而在装完之后从外面还能稳定连回来。dsh-bridge（仓库 wenbin-wb/dsh-bridge）在 DSH 里起一个局域网代理，再经 Cloudflare 隧道把 DSH 开放到公网，并自带访问门禁。本文按「装通 → 换固定域名」走一遍。该插件站内分类 token 为 platform，星标 185，实装验证为 L4 · 真实安装（dsh 0.2.0-rc.2）。
一、阿里云侧准备：VPC、弹性公网 IP 与安全组
把 ECS 放在独立 VPC 里，不与其他对公网暴露的业务混跑——远程访问插件等于把一台机器的 shell 与文件系统交给网络，隔离越干净越好。实例规格按插件要求倒推：Node 引擎要求 ^22.19.0 || >=24.0.0，2 核 4 GiB 足够跑 DSH 与隧道进程，内存再小容易在隧道握手时被 OOM 打断。
网络侧配一个弹性公网 IP，它解绑重绑都不变，适合当长期入口，这里主要解决 ECS 主动出网与运维 SSH。插件走的是 Cloudflare 隧道、由 ECS 主动建连接，所以不需要在安全组对公网开放入方向端口。安全组入方向规则只放最小的几条：22 限你自己的固定 IP 或堡垒机来源，临时验证用的 SSH 隧道端口用完即关。不要把 3082 直接对 0.0.0.0/0 开放——它是插件局域网代理监听的端口，只应放给内网网段或经 SSH 隧道进入的通道。出方向若做过收口，至少放行 Cloudflare 边缘、npm 源与实际使用的 IM 服务域名，否则隧道会「看着起来、其实连不上」。
二、装 Node 与 dsh CLI
登录后先确认版本门槛，这一步错后面全错。
node -v 要看到 v22.19+ 或 v24+，系统源里的老版本请用 nvm 或 NodeSource 换掉；dsh --version 有输出说明 CLI 可用。插件不声明 dsh 版本约束，但实装验证是在 dsh 0.2.0-rc.2 下完成的。
三、装插件并确认局域网代理
装完启动 DSH，在设置面板找到「远程访问」。插件随服务自动开启局域网代理，控制台出现「🛜 局域网网卡 / IP 选择」下拉框。ECS 上至少有一张物理网卡和一个内网地址，跑过 Docker 之类还可能多出虚拟网卡，要选对真正能从运维通道访问的那张。
四、四个最容易卡住的坑
坑一 · 手机扫码后一直转圈打不开
现象。 控制台生成了二维码，手机扫码后一直转圈或提示无法连接。原因。 一是手机与机器不同网段，或路由器开了「AP 隔离」；二是存在虚拟网卡（装了 WSL / VMware / Hyper-V 或开了 VPN），默认 IP 匹配到虚拟网段；三是防火墙没放行 Node 监听的 3082 端口。解决。 先在「🛜 局域网网卡 / IP 选择」切到真正的物理 IP，确认安全组与系统防火墙都放行 3082；若本就跨网段，别再折腾局域网直连，直接开隧道。
坑六 · 救急命令执行了却没反应
现象。 无头 ECS 上忘记访问密码，按文档执行救急命令后网页仍要输密码。原因。 touch ~/.dsh/dsh-bridge/reset-auth 只是放下一个标记，插件要到下次启动时才检测该标记并清空密码与安全策略。解决。 放下标记后重启 DSH 或重载插件，标记被消费才恢复初始免密。这是无头服务器唯一的官方救急路径，别急着怀疑文档。
坑九 · 换了机器，配置全没了
现象。 本地配好的微信机器人、白名单、隧道参数，换到 ECS 重装后一个都不在。原因。 插件配置写在 ~/.dsh-bridge/，与 DSH profile 目录不是同一层，不随插件包迁移。解决。 在旧机器「运维监控」Tab 导出全局配置 .json，新机器导入还原，并把这一步写进部署流程。
坑十一 · 微信 Bot 怎么都配不起来
现象。 其它 IM 通道都通了，唯独微信怎么填都连不上，怀疑还要填 Token。原因。 微信通道走 ClawBot / iLink，需要扫码登录个人号（全程走腾讯官方服务器），不是填个 Token 就能完事。解决。 设置页「远程访问」→「IM 机器人」→ 选「微信」→ 点「扫码登录」扫码确认，再发第一条消息完成授权；没扫码，后面填什么都不对。
五、把临时隧道换成固定域名
模式 1 临时隧道几秒生成一个 https://*.trycloudflare.com 随机 URL，适合外出临时用，但域名会变。要固定入口：在 Cloudflare Zero Trust 控制台建 Named Tunnel、绑定自己的子域名（如 dsh.yourdomain.com），把自定义域名与 Tunnel Token 填进插件的固定域名高级配置，勾选「随 DSH 启动自动开启」。之后 ECS 重启隧道自动恢复，URL 永久不变。
六、收口与临时验证
把安全组入方向再收敛一遍，确认 3082 未对公网敞开、22 只留可信来源，出网可访问 Cloudflare 边缘与 npm 源。配好之前若只想验证连通性，用 SSH 隧道把远端 3082 转发到本地浏览器，验证完即关，别当长期方案。
总结
在阿里云 ECS 上跑通 dsh-bridge，核心是先把 Node 版本、安全组入方向与出网打通，再用 Cloudflare Token 模式把临时隧道换成固定域名；配通之后，配置备份与门禁才是要长期维护的部分。想对照同类插件的中文清单与安装形态见 DeepSeek Harness Hub 插件清单。
适合与不适合
适合：出差在外只想用手机接管本机 DSH 的人；局域网内机器多、想用一张二维码统一入口的小团队；不想自建公网服务器但要稳定域名入口的开发者。不适合：没有远程刚需、只在本地用 DSH 的人——把 DSH 暴露到公网本身就是风险面的扩大；对「每个请求都必须独立认证」有硬性合规要求的团队，自建隧道的公网转发默认没有独立认证；指望零风险接入的人，静态扫描显示它会读写删本地文件并发起外部网络请求，站点也尚未对其做风险分级。
标签：dsh-bridge、DeepSeek Harness、阿里云 ECS、远程访问
本文由 DeepSeek Harness Hub 自动整理，数据来源于插件详情页。
