为什么必须给AnyDesk加“单IP连接上限”
2026年初的AnyDesk v9.0.2把“AI-Assisted Link”默认打开后，弱网场景下会自动抬帧率，单路带宽可能从150 kbit/s跳到800 kbit/s。对于Helpdesk或MSP来说，一个公网IP后挂着整层办公楼是常态，一旦超过20路并发就会把出口堵死，后续会话直接卡在“等待图像”阶段。把“单个IP最大连接数”卡死在合理阈值，是成本最低、效果最直接的止损手段，也是合规审计里“资源滥用控制”的必查项。
经验性观察：在晚高峰时段，同一公网IP下的并发会话数每增加10路，出口利用率就会线性抬升约400 kbit/s；当总带宽占用超过物理链路70%时，新会话的首次握手时延会从平均200 ms飙升到1.2 s以上。提前设限可以把突发流量削峰30%–40%，显著降低“图像等待”投诉。
为什么必须给AnyDesk加“单IP连接上限”
功能定位与版本边界
AnyDesk官方把该能力归入“流量管理（Traffic Shaping）”子模块，仅在企业与旗舰许可证下解锁；8.x及更早版本没有GUI入口，只能通过anynet.conf手动写参数。9.0.2起在Groupdesk Console里提供图形化滑杆，但前提是客户端必须勾选“接受远程策略”。若用离线许可证+本地中继，策略推送依赖ADPD（AnyDesk Policy Distribution Service），否则需手动落盘配置文件。
需要留意的是，Traffic Shaping子模块在许可证文件里单独占用一行feature=traffic_shaping，导入许可证后可在About面板看到“Traffic”字样，否则即便升级至9.0.2也看不到滑杆。对于已购Enterprise但未显示功能的边缘案例，可尝试重新激活许可证或联系渠道刷新授权证书。
Groupdesk Console图形化路径（v9.0.2+）
桌面端最短入口
- 登录Groupdesk Console → 选择节点树 → 右侧“Policy”标签页。
- 展开“Traffic Shaping”→ 找到“Max Sessions per IP”滑杆，输入3~50之间整数。
- 点击“Deploy”→ 客户端30秒内收到策略，生效过程不中断已建立会话。
若客户端处于“仅运行一次”绿色模式，策略会回写本地anynet.conf，但重启后失效；正式安装包才会把值固化到%ProgramData%\AnyDesk\anynet.conf。部署前建议先在测试分组验证，确认无“策略漂移”后再推送到生产分组，避免绿色模式机器因重启导致阈值回滚。
Android/iOS差异
移动端没有Groupdesk Console，只能作为被控端接受策略；若需“反向限制”——即防止手机端疯狂向外建连——要在对应分组里把“Max Outgoing per IP”同步设为同一阈值，否则限制只作用于被入站。经验性观察：在Kiosk模式下，iOS被控端超过2路并发时系统会先杀后台，故把阈值调到3以上并无实际意义，反而增加日志噪声。
anynet.conf手工写法（全版本通用）
在离线或老版本场景，直接编辑anynet.conf（路径见下表），追加两行即可：
[traffic] max_sessions_per_ip=5
| 系统 | 文件绝对路径 |
|---|---|
| Windows | %ProgramData%\AnyDesk\anynet.conf |
| macOS | /Library/Application Support/AnyDesk/anynet.conf |
| Linux | /etc/anynet/anynet.conf |
注意：手工修改后需执行`sudo systemctl restart anydesk`或重启客户端，GUI不会自动重载。
参数背后的三条硬规则
- 计数维度=公网IP：NAT后同一地址被所有终端共享，阈值过低会误杀；内网中继场景则按内网地址统计。
- 双向独立：入站（Incoming）与出站（Outgoing）分别计数，互不占用额度。
- 拒绝策略=温柔降级：新建第N+1路时，客户端弹“连接被策略拒绝”，不会触发全局Ban，30秒后自动允许重试；老会话不受影响。
温柔降级的设计初衷是给脚本化运维留余地：自动化平台在收到“policy reject”信号后，可指数退避再重试，而不是直接报错退出。对于RMM工具集成，可监听anynet.trace中的traffic_limit_reached事件，配合Webhook把拒绝次数推送到告警通道。
常见分支：把阈值写死还是分层？
经验性观察：Helpdesk场景每IP8~10路可保持1080p/60 fps且留有30%带宽冗余；IoT终端批量维护可把阈值压到3路，防止脚本并发拖垮窄带。若同一分组里既有办公PC又有Kiosk，建议用“子分组继承+局部覆盖”模式：顶层设10，Kiosk子组设3，避免一刀切。
示例：某MSP客户拥有2000台数字标牌，出口为100 Mbit/s共享。初始统一设10路导致晚高峰带宽跑满，后把标牌子组下调至2路，办公子组保持8路，整体峰值带宽下降42%，且未收到画质投诉。
回退与排错：改错了如何秒恢复
现象：全公司突然连不进来
90%是把max_sessions_per_ip误设成1，导致NAT地址被第一个会话独占。最快回退是Groupdesk Console里把值改回0（0=不限制）→ Deploy，30秒即可恢复；若离线节点无法收策略，直接删anynet.conf对应行并重启服务。
现象：全公司突然连不进来
验证是否生效
- 在客户端按Ctrl+F4打开“Connection Info”→ 查看“Traffic Policy”行，若显示max_sessions_per_ip=5即表示已下发。
- 用同一公网IP的第六台机器发起连接，应收到“Connection rejected by policy”提示，日志文件anynet.trace同时出现traffic_limit_reached。
若需批量验证，可用Python脚本循环建立socket，监测返回码0x0B（PolicyReject）即可确认阈值生效。经验值：在千兆局域网内，10线程并发可在5秒内完成验证，避免人工逐台测试。
副作用与缓解办法
- 合法用户被误拦：在大型NAT环境（高校、运营商CGNAT）可把阈值=0的例外IP段写在白名单，白名单优先级高于限制。
- 日志暴涨：每拒绝一次写一行traffic_limit_reached，高并发时日志文件可能小时级破百MB，建议配套anynet.conf里把log_level从info调到error。
- Groupdesk Console树形节点>500时策略延迟：经验性观察，9.0.2在800节点下Deploy平均延迟90秒，官方建议把TreeCacheSize调到2048并启用增量Diff。
日志膨胀不仅占用磁盘，还会拖慢SIEM采集。可在anynet.conf追加[log] max_size=100MB，实现自动轮转；或把traffic类日志单独分流到/tmp挂载的tmpfs，减少SSD写入放大。
与本地中继的配合注意点
自建Docker中继默认把“客户端地址”视为内网IP，若总部与分支通过专线汇聚，同一/24网段可能有上百台设备，此时把max_sessions_per_ip设5明显过低。缓解方案：在中继配置里把“use_original_ip_header=true”打开，让中继透传真实公网地址，计数逻辑就与云端一致。
示例：打开透传后，总部防火墙能看到原始公网IP，AnyDesk计数器按公网维度统计，分支机构不再因为内网地址相同而被误限。官方Dockerfile已暴露该变量，默认注释，取消注释并重启容器即可生效。
不适用场景清单
| 场景 | 原因 |
|---|---|
| 需要永远在线的无人值守广告屏 | 单IP仅1路，远程升级时无法并发传素材 |
| 短训班酒店WiFi统一出口 | NAT后几百学员，阈值过低导致课程无法进行 |
| 零信任架构要求每终端独立证书 | IP限制与证书级准入冲突，应改用SAML+设备指纹 |
最佳实践速查表
- 先拿NetFlow或防火墙统计“单IP历史峰值”，再留30%余量写阈值。
- 把“例外IP”预先写进白名单，避免总部运维被锁。
- Deploy后24小时内盯anynet.trace，出现>10%拒绝率就回调。
- 结合“会话超时”策略（idle_timeout=900）让闲置链路自动释放，减少无效占用。
- 录像归档场景记得把录像服务器IP写白名单，否则批量拉取录像时会被挡。
未来版本展望
官方GitHub Roadmap已出现“per-device certificate session limit”草案，预计9.1版把计数维度从IP下放到证书指纹，解决CGNAT误杀；同时“Dynamic Threshold”功能将根据出口实时带宽自动上调或下调，最大幅度±50%，对MSP将是利好，但需额外购买“AI-Assisted Link Plus”许可证。
总结：AnyDesk多会话时限制单个IP最大连接数，本质是用一个整数参数把“带宽、合规、用户体验”三件事同时管住。先评估NAT规模，再留冗余，最后通过Groupdesk Console或anynet.conf一键下发，30秒即可生效；改错也能30秒回滚，是性价比最高的性能与安全兼顾手段。
常见问题
max_sessions_per_ip设为0代表什么？
0表示关闭该限制，不对任何IP做连接数上限控制，等同于未启用Traffic Shaping策略。
策略Deploy后多久生效？
在线客户端默认30秒内完成拉取并生效；离线节点需等到下次心跳或重启服务后读取本地anynet.conf。
移动端可以单独设置阈值吗？
移动端无Console，只能作为被控端接收策略；如需限制其向外建连，要在对应分组里同时设置Max Outgoing per IP。
误设阈值导致全部拒绝，如何最快恢复？
在Groupdesk Console把值改回0并Deploy，30秒即可；若节点离线，直接删除anynet.conf对应行并重启服务。
本地中继场景下计数维度为何不对？
默认中继取内网地址，需在relay.conf设置use_original_ip_header=true，让真实公网IP透传后统计才能与云端一致。