🎯 要解決什麼問題

🧭 架構：只有平台流量走公司出口

  你的 Mac / iPhone
  （家中 Wi-Fi、手機熱點、出差飯店、國外…）
        │
        ├──── 連 tipo / tipo-agent 的流量 ──→ 〔GCP 台灣機房 · 固定 IP〕──→ 平台（白名單放行）
        │
        └──── 其他所有上網（私人瀏覽、串流、購物）──→ 直接走你自己的網路
                                                      （不經過公司主機）

這叫 split-tunnel（分流模式）：把「公私分離」做在架構層，不靠自律。私人流量從來不經過公司的任何設備，所以隧道整天開著也沒有代價——實際設定上就讓它自動啟用，使用者不必記得開關。

🧱 建置成果

全部建在 P322 專案既有的 GCP 專案內，但放進獨立的虛擬網路，與正式主機的網段完全隔離。

防火牆的部分只新增一條規則、不動任何既有規則：來源不限、但只開 UDP 51820，而且只對貼了 wireguard 標記的那台主機生效——換句話說，這條規則的作用範圍就是我們自己那台機器。

✅ 驗收

CP1／CP2 的實際輸出（位址已部分遮蔽）：

$ sudo wg show
interface: wg0
  listening port: 51820

peer: （公開金鑰略）
  endpoint: （個人網路位址略）
  allowed ips: 10.66.66.2/32
  latest handshake: 28 seconds ago
  transfer: 692 B received, 604 B sent

CP4 的意義值得多說一句：隧道開著的時候查「我的 IP」，顯示的是你自己網路的位址而不是公司出口——這正是分流模式的證明，代表私人瀏覽完全沒有經過公司設備。這與一般 VPN 的預期相反，驗收時別誤判成失敗。

🧠 四個關鍵決策

⚠️ 給後人的六個地雷

這些都是這次首度實作實際踩到的，原始手冊沒有寫。完整教學（含 31 張逐步截圖）在 p322_tipo_timeless/fixed-ip/。

地雷安裝腳本猜的對外位址是錯的（最容易整套白做）▸

現象

腳本第一題 IPv4 or IPv6 public address 會自動帶入主機看到的內網位址（10.99.0.2）。因為雲端主機自己看不到外部位址——外部位址掛在網路層做轉送，這是雲端通例，不是設定錯誤。

後果與修法

照按 Enter 的話，客戶端設定檔裡的連線目標會是一個外面根本連不到的內網位址，整套設定形同白做。必須手動刪掉、改填固定 IP。

地雷中文輸入法讓選單完全沒反應（卡關十分鐘）▸

現象

腳本選單打「4」卻一直重複提問，像當機。原因是中文輸入法打出來的是全形數字，腳本只認半形，收到就當無效輸入。方向鍵也不吃（會產生逃脫字元）。

對策

操作終端機選單前先切成英文輸入法；卡住時按 Ctrl+C 離開。更可靠的做法是繞過選單、直接下指令修改設定檔——對非工程師反而更穩。

📌 下一步