把自己的设备,
收进一个窗口

准备一台公网可达的 Linux 服务器(Ubuntu / Debian / CentOS / Rocky / Alma 均可,x86_64 或 arm64),以 root 执行:

脚本会做三件事:

• 把 herald-relay 装到 /opt/herald/;
• 建好 /var/lib/herald/ 下的数据、模板和升级包目录;
• 注册并启动 herald-relay.service,设置开机自启。

结束时终端会打印控制端密钥和模板数量。密钥也会保存在 /var/lib/herald/relay-keys.conf,请备份;以后随时可以运行 herald-relay setkeys 查看。

如果服务器开了 ufw / firewalld,脚本会尝试放行 TCP 56925; 云厂商的安全组需要你到控制台放行同一端口。

到 下载 选你的系统,打开 herald-gui。首次启动如果还没有配置, 点菜单「中转 → 连接配置」,填三项:

• 主机:服务器的公网 IP 或域名;
• 端口:56925(或安装时指定的端口);
• 密钥:第 1 步打印的控制端密钥。

第一次连接会提示「公钥没有被授权」,这是正常的:控制端还要用自己的 Ed25519 密钥登录一次。 把错误里给出的那行命令复制到服务器上执行:

herald-relay authorize <你的公钥>

然后回到控制端点「连接」即可,不用重启中转端。连接信息保存在 ~/.herald/cli.conf。

连接成功后,菜单「中转 → 生成被控端」。选平台、架构和保存目录;中转地址和端口填 目标设备能访问到的地址(通常就是第 2 步填的那个公网地址),然后点「开始生成」。

模板已经由安装脚本放好,不需要再手动上传。生成的是一个单文件程序:

• Linux:拷到设备上,chmod +x 后运行;默认后台守护。
• Windows:拷到设备上双击;首次确认 UAC,之后静默安装成服务并开机自启。

被控端以 root / LocalSystem 运行,能管理整机;生成件里带着设备端的传输密钥, 只放到你自己的设备上。

设备上线后会出现在主窗口列表里,显示编号、别名、IP、平台、版本和在线状态。 选中设备右键,常用操作都在菜单里:

• 文件管理、命令行、进程管理、服务管理
• 截图、远程控制、设备详情
• 升级、重启被控端、卸载并删除、删除记录

各个功能会打开独立窗口,可以同时开着;列表变化会实时推送,不用手动刷新。

中转端在服务器上以 root 执行一条命令。 更新包和首次安装包是同一个文件:脚本会先比较版本,已经是最新就什么都不做。

• 脚本会将旧的模板、升级包、中转端程序和 systemd unit 备份到 /var/lib/herald/backup/update-<时间>-<进程号>/;
• 用新包里的程序和模板覆盖,重启 herald-relay.service;在线设备会自动重连;
• 设备记录、两把传输密钥、控制端授权、许可证、别名备注和审计日志都不会动;
• 版本相同也要重装(或想降级)时加 --force: curl -fsSL https://jjrue.com/update.sh | sh -s -- --force。

控制端的请下载最新 DMG / ZIP 覆盖安装;连接配置和登录密钥保存在 ~/.herald/(Windows 是 %USERPROFILE%\.herald),不会被覆盖。

被控端不会随中转端自动更新。新版被控端要在控制端里生成一次,并让它同时成为升级包:

1. 菜单「中转 → 生成被控端」,选平台和架构(地址、端口按当前配置预填,通常不用改);
2. 勾选「同时放进中转端的升级包目录 (updates/)」,点「开始生成」。 生成件落盘后会自动上传到中转端,不用再去服务器手动传文件;
3. 每种在用的平台 / 架构各生成一次(例如 Windows x86_64、Linux x86_64、Linux aarch64);
4. 回到主窗口,右键要升级的设备 →「升级」,选新版本。在线设备立即升级、短暂下线后 以新版本回来;离线设备会排成计划任务,下次上线自动执行。

先卸设备,再卸中转端。中转端删掉以后控制端就再也连不上设备, 被控端只能到设备本机手动清理。

卸载被控端:在主窗口列表里右键那台设备,选「卸载并删除」, 按提示输入对话框里给出的客户端 ID 确认。

• 设备在线:被控端会把自己连程序、服务、日志、安装目录和 ID 一起删掉,然后下线,这条记录同时删除。此操作不可撤销。
• 设备离线:会排一条卸载任务,设备下次上线时立即执行; 这期间记录从列表里隐藏,可以在「计划任务」里查看或取消。

只是想清掉列表里的离线记录、设备上的程序还要留着?右键「删除记录」: 只删中转端里的这条记录,设备端一个文件都不动;它要是还在运行, 重新上线后会以一条新记录出现在列表里。

卸载中转端:设备都处理完以后,在服务器上以 root 执行:

脚本会停止并禁用 herald-relay.service,删除程序、命令链接和 systemd unit,并清理安装时放行的本机防火墙端口。 默认保留 /var/lib/herald/(设备记录、密钥、模板和升级包), 以后重装可以接着用。确定不再需要,加上 --purge 连数据一起删:

curl -fsSL https://jjrue.com/uninstall.sh | sh -s -- --purge

加 --purge 会删掉密钥等全部数据;重装后会生成新的控制端密钥, 旧的被控端将无法再连回来。云服务器安全组里的端口放行仍需到控制台自行删除。