必须通过Connector机制注入可信端点实现内网服务调用；QoderWake v26.4.0起原生支持内网穿透，需启用tunnel_mode并部署Tunnel Agent绑定内网地址，最后在Skill中配置tunnel-http资源别名调用。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
您需要让QoderWake Skill调用企业内网的ERP、CMDB或自建API服务，但这些接口不对外暴露，也无法直接填写公网URL——此时必须通过Connector机制注入可信端点，并绕过网络隔离限制完成安全调用。
确认Skill运行环境支持内网穿透
QoderWake v26.4.0起才原生支持内网穿透通道，低于此版本的Skill会直接拒绝tunnel.qoder.ai域名的WebSocket握手请求，返回403错误。执行qodercli system status --verbose，检查输出是否包含tunnel_mode: enabled与tunnel_endpoint: wss://tunnel.qoder.ai/v26两行。若显示disabled，需编辑/opt/qoder/core/config/harness.yaml，将tunnel_enabled设为true，再运行./restart-harness.sh重载框架。
部署Tunnel Agent并绑定内网服务地址
Agent必须驻留在内网服务器上，主动连接云中控节点建立反向加密信道，不暴露任何端口，规避防火墙拦截风险。
方法一：全自动安装（推荐用于有root权限的Linux服务器）
在内网服务器执行：qodercli tunnel install --region cn-shanghai --license-file /opt/qoder/license.lic。该命令自动下载二进制、写入/usr/local/bin/、注册systemd服务qoder-tunnel.service。
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
方法二：手动部署（适用于无root权限环境）
从https://tunnel.qoder.ai/download/qoder-tunnel-agent-v26.4.0-linux-amd64下载二进制，赋予执行权限chmod +x qoder-tunnel-agent，然后运行：./qoder-tunnel-agent --license /home/user/qoder/license.lic --endpoint wss://tunnel.qoder.ai/v26 --bind 127.0.0.1:3306,192.168.10.5:8090。【--bind参数必须显式列出所有需穿透的IP:PORT对，不能写成0.0.0.0:*】
【License文件必须与QoderWake主实例完全一致，否则Agent注册失败且无明确报错】
在Skill中配置穿透资源别名
第一步：登录QoderWake控制台，进入「Skill开发」→「连接器管理」→「新增资源别名」。
第二步：输入别名（如erp-internal），协议类型选tunnel-http，目标地址填http://erp-internal:8080/api/v1/orders（注意此处host必须与Agent --bind中声明的IP段匹配，系统会自动映射到真实内网地址）。
第三步：勾选「启用响应校验」，填入预期HTTP状态码范围（如200–299），防止无效响应被误解析。
第四步：保存后，在Skill代码中直接调用connector.call("erp-internal", {method: "POST", body: {...}})即可发起请求，无需硬编码真实IP或处理TLS证书。
