#L3 节点与 L4 服务

L3 适合访问一台 Node 或一段 LAN；L4 Service 适合只开放一个确定协议与端口。默认优先选择更小的 L4 资源。

#L3：访问 Node 或子网

L3 授权允许主体按 IP 协议访问 Node，或访问由 Node 发布/绑定的 LAN 子网。适合 ping、SSH、数据库、自定义协议和整网段路由。授权整个 Node 后，成员应看到完成访问所需的 Node IP/DNS；未授权 Node 不可见。

#配置与验证

1. 确认来源和目标 Node 位于预期 Network，目标在线且主机端口可用。
2. 在 访问授权选择用户、用户组或来源 Node，再选择准确 Node 或 Subnet 资源。
3. 连接当前 Space，执行 ns status --probe，再使用目标 Node IP/DNS 或 LAN 地址完成真实协议请求。
4. 使用未授权账号或来源 Node 做反向测试；授权方向相反时也应失败。

ICMP 可能被主机防火墙禁用，ping 失败不等于 NetSeed 路径一定失败，应同时检查一个明确开放的 TCP/UDP 端口。

#L4：访问 Service

L4 Service 把 协议 + 本机地址 + 端口 作为受管理资源发布。它比整 Node 授权更小，适合只开放一个 Web、数据库或 UDP 服务。完整链路需要：Node 在线、Service 正确发布、目录对主体可见、访问授权启用、客户端已连接、目标本机端口可达。

#配置与验证

1. 先按 services.toml 从承载 Node 发布 Service。
2. 在 NSD 服务核对协议、端口和上报 Node，再在 访问授权选择该 Service。
3. 从获授权设备访问 Service 地址；不要用 Node IP 直接访问来替代 L4 验证。
4. 验证同一 Node 的其他端口仍不可达，并用未授权设备验证该 Service 不可见且不可达。

#如何选择

服务列表可在断开时通过控制面刷新，因此“看得到”不等于“连得通”。同理，Node 在线也不等于用户已授权。

#常见选错

• 为了访问一个 Web 端口授权整个 Node，导致 SSH、数据库或未来新增端口也进入授权范围；
• 只验证 Service 在目录可见，没有建立真实数据连接；
• 将子网路由误认为 NSGW 能力，忽略承载 Node 的本地接口 binding；
• 使用错误 Space 中同名 Node/Service，或只记录显示名称而不核对稳定 ID。