应检查并放行云平台安全组中的3389（rdp）和443（https）端口，同时确认目标服务器本地防火墙也允许这两个端口，确保网络策略与系统防火墙一致。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您尝试通过WorkBuddy访问远程终端，但连接失败、提示超时或“连接被拒绝”，则很可能是远程终端所依赖的3389（RDP）或443（HTTPS前端）端口未在云平台安全组中放行所致。以下是解决此问题的步骤：
一、验证云服务商安全组是否放行3389端口
WorkBuddy调用远程终端功能时，需通过3389端口与目标Windows服务器建立RDP会话；若安全组未显式允许该端口入站，所有RDP请求将被静默丢弃。
1、登录阿里云/腾讯云/AWS控制台，进入对应ECS或CVM实例的“安全组”配置页。
2、在“入方向规则”列表中查找是否存在TCP协议、端口范围为3389的规则；若不存在，则点击“添加安全组规则”。
3、填写规则：类型选“远程桌面(RDP)”，协议类型为TCP，端口范围填3389，授权对象设为0.0.0.0/0（测试阶段）或WorkBuddy服务所在服务器IP段（生产环境）。
4、保存后等待10–30秒策略生效，再执行telnet 目标服务器IP 3389验证连通性。
二、确认443端口已在安全组中开放
WorkBuddy前端页面及API网关通常通过HTTPS（443端口）对外提供服务；若该端口未放行，用户无法加载登录界面，进而阻断后续远程终端调用流程。
1、在同一安全组的“入方向规则”中，检查是否存在TCP协议、端口范围为443的规则。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
2、若无此规则，新增一条：类型选“HTTPS”，协议TCP，端口范围填443，授权对象同上，设为0.0.0.0/0或限定IP段。
3、保存后，在浏览器中直接访问https://您的WorkBuddy域名，确认能正常显示登录页且无SSL错误。
三、交叉核对操作系统防火墙与安全组策略一致性
即使安全组已放行3389和443端口，若目标服务器本地防火墙仍拦截，远程终端连接仍会失败；必须确保两者策略叠加后实际允许流量通过。
1、在目标Windows服务器上，以管理员身份运行PowerShell，执行：Get-NetFirewallRule -DisplayName "*Remote Desktop*" | Where-Object Enabled -eq True，确认RDP相关规则已启用。
2、执行：Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389，验证3389端口过滤器状态为允许。
3、对Linux类WorkBuddy后端服务器，执行：sudo ufw status verbose | grep 443（Ubuntu）或sudo firewall-cmd --list-ports | grep 443（CentOS），确认443/tcp已列于允许端口。
4、若任一端口未被本地防火墙允许，立即执行对应放行命令并重载规则。
