在主机列表中选择 prod-api-01 后，Scoplen 直接连接 10.0.1.24，先确认主机密钥与之前记录的一致，再使用保存在 Secure Enclave 中的密钥以 deploy 用户登录，并在同一条连接上打开终端和文件。终端显示 api 服务正在运行，磁盘已使用 39%。
从简单开始
填好地址、用户和密钥，就可以开始连接
登录、密钥和路由会在后台自动建好，等你真正需要复用它们时，才会出现在界面上。
添加主机时只需要填写地址、用户和密钥。Scoplen 会在后台自动创建登录、密钥和直连路由，但不会在界面上显示它们；当同一把密钥被用到第二台主机上时，它才会作为独立条目出现在「密钥」中，供你单独管理。
路由
每台主机怎么连，由你逐台决定
直连、跳板机和网关可以混合使用。只有经过网关的连接才能录像，因为只有网关看得到会话的内容。
每台主机可以直连，也可以经由跳板机，或者经由入口和网关连接，具体用哪种由你逐台决定。只有经过网关的连接会途经能看到会话内容的环节，因此也只有它能够录像。两种方式都能记录谁获得了授权、依据是什么；但只有经过网关的连接，才能完整记录每一次连接、保留终端录像，并从服务器端结束会话。
堡垒机
只把真正需要管控的主机放到堡垒机后面
这些主机的登录凭据由网关代为填写，从不经过使用者之手；每个会话都会录像，管理员也可以随时将它结束。
Ivy 要连接 prod-db-01，这台主机被指定经由堡垒机访问。她的一次性票据先通过核验，入口只负责转发、看不到会话内容，网关则再核对一遍访问规则。随后网关用组织凭据库中的凭据登录主机，这份凭据全程不经过 Ivy，整个会话也都被录像。Mia 在控制台中看到这个会话，并将它结束。
团队
团队成员拿到的是会自动过期的证书
每张证书都写明能连哪台主机、以哪个用户登录，有效期以分钟计算。有人离开团队，也不需要再去回收任何密钥。
一条访问规则允许 ops 组以 deploy 用户连接生产环境的主机，每次最长 30 分钟。Ivy 申请到一张证书，上面写明了 prod-db-01 和 deploy，30 分钟后失效，她用这张证书直接连上了主机。Ivy 调离 ops 组之后，新的证书申请会被拒绝，她手里那张也会在到期后自动失效。
随时可达
服务器出故障时，只有依赖它的部分需要等待
直连和跳板机的连接照常工作；只有你放到堡垒机后面的主机要等网关恢复，设备之间的同步也会暂停。
Scoplen 服务器和它的网关无法访问后，放在堡垒机后面的主机要等网关恢复，设备之间的同步也会暂停；而直连、跳板机、文件传输和隧道都不受影响，因为它们本来就不经过服务器。
同步
数据在离开你的设备之前就已经加密
同步服务器负责替你保存主机列表，但它拿到的只是密文，看不到其中的任何内容。
在笔记本上新添加了主机 prod-api-01。数据离开笔记本之前，就已经由这台设备加密并签名，服务器上保存的只是它无法解读的密文。数据同步到台式机后被重新解密，名称、地址和用户都与原来一致。
自己部署
一条命令就能启动，所有服务共用一个端口
个人使用时，SQLite 和本地文件就足够了；以后扩展到团队乃至整个组织，也只需要修改配置，不必重新安装。
带上域名运行 spl-server 后，它会自动生成部署密钥、申请 TLS 证书，所有服务都通过 443 端口提供，最后打印出一次性的设置链接。这就是个人版，只需要一个进程、SQLite 和本地文件。开启组织功能后，它就成为团队版；再用 splctl migrate-storage 迁移数据，就能升级为使用 PostgreSQL、对象存储和密钥管理服务的组织版。
OpenSSH
原有的 ssh 命令和配置文件继续可用
Scoplen 只读取你的 ssh 配置，从不改写；遇到无法导入的配置项，它会明确列出来，而不是悄悄忽略。
Scoplen 只读取你的 ~/.ssh/config，不做任何修改。两台主机被导入，其中一台带有跳板路由；一段它无法表达的 Match 配置会被明确列出，而不是被悄悄忽略。Scoplen 另外写入一个属于自己的文件，由你的配置引用，因此在任何终端里，ssh prod-api-01 都能照常使用。
只能自己部署
同步服务、网页控制台和网关，都运行在你自己的服务器上。
没有付费版本
无论个人使用还是整个组织部署，拿到的都是同一套完整功能。
随时可以带走数据
所有数据都能导出为有文档说明的 JSON，也可以直接导出成 OpenSSH 配置文件。