MotionPro Device ID 设备标识与绑定登录机制
Device ID 是什么
MotionPro 在每台设备上首次运行时，会采集设备的硬件特征（如 CPU 序列号、主板标识符、系统安装 ID 等）并组合生成一个全局唯一的 Device ID。这个 ID 在整个设备生命周期内保持稳定（除非重装系统或更换核心硬件）。
AG 网关可以利用 Device ID 实现设备级访问控制：
- 某个账号只能在绑定的 1-3 台设备上登录 VPN
- 设备丢失后，IT 在网关端"撤销"该设备 ID 的 VPN 权限
- 新设备首次登录时可能需要额外审批（如短信验证码确认）
这是对"知道密码就能在任意设备登录"的传统模型的升级——密码 + Device ID 双重校验。
Device ID 的生成方式
不同平台上 Device ID 的来源不同：
| 平台 | Device ID 来源 | 稳定性 |
|---|---|---|
| Windows | Windows Install ID + 主板序列号 + CPU ID | 重装系统后可能变化 |
| macOS | IOKit 硬件 UUID + OS 安装 ID | 重装系统后可能变化 |
| Android | Android ID（SSID）+ 设备序列号 | 恢复出厂设置后变化 |
| iOS | IDFV（Vendor ID） | MotionPro 卸载重装后会变化 |
重要：iOS 上 IDFV 的特点是——同供应商（Array Networks）的所有 App 共享一个 IDFV，卸载该供应商的所有 App 后 IDFV 会重置。所以如果你在 iOS 上卸载重装 MotionPro（以及其他 Array App 如 MotionPro OTP），Device ID 会变化，可能触发网关的"新设备"检测。
绑定登录流程
- 首次登录：用户用账号密码 + 2FA 在新设备上登录 MotionPro
- 网关检测：网关发现这个 Device ID 不在用户的允许列表里
- 处理方式取决于配置：
- 自动注册：网关自动把这个新 Device ID 加入允许列表（推荐）
- 需要审批：网关要求额外的安全验证（如短信确认），通过后加入
- 直接拒绝：网关拒绝登录，提示"设备不在允许列表中，请联系 IT"
- 后续登录：同一台设备再次登录时，MotionPro 自动出示 Device ID，网关校验通过
如果网关启用了"自动注册"，首次登录后用户不需要做任何额外操作。
Device ID 的已知问题
问题 1：升级后 Device ID 变化
根据官方 Release Notes：
升级 MotionPro 后，Device ID 可能发生变化。
如果你的网关启用了设备绑定策略，MotionPro 升级后可能无法登录——因为新 Device ID 不在允许列表里。
解决方法：
- 升级 MotionPro 后如果登不上，先卸载旧版再装新版（而不是直接覆盖升级）——这有时能保持 Device ID 不变
- 如果还是不行，联系 IT 部门把新 Device ID 加入你的允许列表
- 建议升级前先让 IT 临时关闭设备绑定策略，升级完再开启
问题 2：Device ID 与证书的冲突
如果同时启用了 Device ID 绑定和客户端证书认证，且 Auto Detect 认证类型也开启了（Windows 客户端），可能出现 Device ID 认证失效。官方建议在这种场景下手动选择 Manual 认证类型，而不是 Auto Detect。
问题 3：系统重装后的 Device ID 变化
Windows/macOS 重装系统后，Device ID 会变化（因为 OS 安装 ID 变了）。这意味着换系统等于换设备，需要网关重新绑定。IT 部门需要知道这个，否则重装系统后的用户会突然登不上 VPN。
Device ID 在网关端的管理
如果你是 IT 管理员（普通用户通常不需要操作这些），可以在 AG 网关的管理界面：
- 查看某个用户已绑定的 Device ID 列表
- 新增/删除/禁用特定 Device ID
- 设置每个用户的最大绑定设备数（如 3 台）
- 配置新设备首次登录的处理策略（自动通过 / 审批 / 拒绝）
普通用户如果遇到"设备被锁定、需要重新绑定"的情况，联系组织 IT 部门处理即可。