聊天正常、云电脑连不上：要放行哪些域名
非官方教程。核对日期：2026-10-17。公司网关部分按官方文档转述，给 IT 看。个人代理软件那一节是本站补充，不是官方的某一款软件教程。
一句话回答
聊天、登录、审批走 *.cursor.sh。云电脑的画面和命令行走嵌套的 *.*.cursorvm.com。网关如果只放行了聊天域名，或者对云电脑域名做了 TLS 解密，就会出现聊天还能用、电脑一直连不上。先放行文档里的域名并免解密，不要先点 Reset。
官方页面写明：这篇是给管理网关的 IT 看的。它讲的是你的设备去连 Cursor，不改变云电脑自己可以访问哪些网站。配置 TLS 检查代理
症状对照
下面是官方症状的中文转述，判断以英文文档为准。
| 你看到的 | 官方怎么解释 |
|---|---|
| 云电脑设置卡住或失败，App 一直连不上电脑。聊天有时仍可用 | 聊天能到达 api2.cursor.sh，电脑链路需要 cursorvm.com |
| 手机热点或私人设备正常，公司网络或网关客户端一开就失败 | 例外规则没有加到这个网关 |
| 办公室正常，回家就失败，笔记本还是同一台 | 例外只加在办公室策略上，离线或在家的配置文件没有带上 |
| 登录或聊天也卡住 | cursor.sh 上仍有 TLS 检查或响应缓冲 |
安全 FAQ 用了同一组症状：Zscaler 这类会检查 TLS 的网关放行了 api2.cursor.sh，却挡住或检查了电脑的嵌套 cursorvm.com 主机名。安全 FAQ
要放行的域名
在网关和 DNS 过滤里放行下面全部。官方要求用通配符，不要试图把每台电脑的主机名列全。电脑主机名是按机器生成的。
| 模式 | 官方写的用途 |
|---|---|
*.cursor.sh | 聊天、登录、审批，以及其余 Cursor API |
*.cursor-cdn.com | 静态资源 |
*.cursorapi.com | 扩展市场及相关 API |
*.cursorvm.com | 托管电脑及其控制面 |
*.*.cursorvm.com | 同一用途，再深一层。必须有 |
cursor.com、downloads.cursor.com | 安装和更新桌面 App |
只加 *.cursorvm.com 不够。电脑主机名在 cursorvm.com 下面有两级，形如 某某.某某.cursorvm.com。单层通配符只匹配一层。官方把“只加了 *.cursorvm.com”写成电脑设置失败的常见原因。
放行之后还要关两件事
对上表每一个域名：
- 不要做 TLS（SSL）解密。 网关用自己的证书重新签名时，就算域名已经放行，电脑设置的握手仍会失败。
- 关掉响应缓冲。 聊天和电脑链路是流式的。网关把响应攒到结束才放行，App 会一直等。
2026-09-29 的更新日志另有一句：Grok Bot 可以在带 TLS 检查代理的网络上登录和连接，并使用你电脑上安装的根证书。更新日志 这句是产品更新，不是“可以继续解密 cursorvm.com”的许可。代理文档仍要求对这些域名绕过检查。两句都留下：根证书那条解释登录为什么有时能通过；域名豁免仍是文档给出的可靠做法。
策略如果分成办公室和离家两套，两套都要加。官方的判断句是：同一台笔记本，办公室能用，回家不能用，网关客户端还开着。
自查：两条官方命令
在已经开着网关客户端的那台设备上运行。
看证书是谁签发的：
curl -v https://api2.cursor.sh |& grep -C1 issuer:签发者应为 Amazon RSA。如果名字是 Zscaler 或你们的网关厂商，说明这台设备当前的配置仍在对 cursor.sh 做 TLS 检查。
看电脑域名能否解析：
nslookup test.us9.cursorvm.com应返回地址。如果失败，再试：
nslookup test.us9.cursorvm.com 1.1.1.1公共解析能答、你的默认 DNS 不能答，官方的解释是：拦在这台设备的 DNS 或网关配置上，嵌套的 *.*.cursorvm.com 例外没有加在那里。
然后在同一台设备上打开 Grok Bot 桌面端，连接电脑。官方写明：热点成功、公司网络失败，就可以确认是网络原因。
用键盘可以完成这些检查：命令在代码块里，可以整段选中复制。读屏会按行读命令和上面的表格。
个人代理软件（本站补充，不是官方步骤）
官方文档的例子是公司网关，没有写某一款个人代理 App 的菜单。
如果你自己用代理软件，本站的对应做法是：把上表那些域名设为直连，并且不要对它们做 HTTPS 解密。这是把官方的“放行 + 免检查”翻译到个人软件上的说法，不代表官方认可某款软件，也没有在本站环境里逐个点过那些开关。
这不是教你绕过访问限制。文档要解决的是：代理把 Cursor 的证书换掉或把流式响应卡住之后，云电脑连不上。
和 “Route traffic through this computer” 的区别
| 你想做的事 | 用哪个 |
|---|---|
| 让你的电脑通过公司网关连上 Cursor 和云电脑 | 本页的域名放行 |
| 限制云电脑自己能访问哪些网站 | 企业版的网络策略。个人和自助团队没有这个开关 |
| 让云电脑的访问改走你这台电脑的网络和 IP | Settings → Computer → Network 里的 Route traffic through this computer |
最后这个开关写在 连接私有网络。它在你关掉开关，或企业管理员关闭 Allow Local Egress Routing 时停止。它不是用来修好“你的电脑连不上云电脑”的。
安全 FAQ 也把两件事分开：挂在 “Connecting” 是网关问题；流量改走你的桌面，是私有网络那一页。
和 Reset 的顺序
电脑连不上时，官方恢复顺序仍是 Retry、重新打开 App、Update、Recover，最后才 Reset。见 云电脑卡住。如果证书检查已经显示网关在解密，先改网络，避免把 Reset 当成网络故障的修复。
还没法证实的
- 某一款个人代理软件里开关的准确名字：官方没写，本站不编。
- 只放行了一部分域名时，聊天和电脑各自会不会通：文档给了典型症状，没有一份“缺哪一条就一定是哪种报错”的完整表。
- 企业版若强制检查全部流量：文档说网关必须原样放行流式传输，并写明豁免这些域名才是可靠做法。本站没有企业网关可以试。
常见问题
Q：已经放行了 *.cursorvm.com，为什么还是不行？
A：官方写了两个常见原因：缺了 *.*.cursorvm.com，或者域名放行了但仍在做 TLS 检查。
Q：Cursor 编辑器的聊天是好的，为什么 Grok Bot 的电脑不行？
A：文档写明编辑器的聊天和 Tab 不需要 cursorvm.com。所以对编辑器正常的网关，仍可能让 Grok Bot 的电脑失败。
Q：这个名单是让云电脑去访问我的内网吗？
A：不是。内网走 Route traffic through this computer，或企业版的 Team Setup。见 第 5 章 里对出网的简述，以及上面的区别表。
参考来源（核验 2026-10-17）
- https://docs.x.ai/grok-bot/proxies
- https://docs.x.ai/grok-bot/private-networks
- https://docs.x.ai/grok-bot/security-faq
- https://x.ai/changelog/bot （2026-09-29）
相关阅读
说明
本页根据官方代理文档、安全 FAQ 和更新日志整理。网关策略由你们的 IT 修改。个人代理一节是本站补充。