1. aTrust 客户端跑在服务器上的两个 systemd-nspawn 容器里，各自有独立的桌面。
2. 点开登录窗口，浏览器通过 noVNC 连进那个桌面，你在里面输账号、过验证码和 MFA。
3. 登录成功后，容器把内网出口暴露成本机 SOCKS（浦江 11082、复旦 11084），订阅里的 PJLAB 和 FUDAN 节点就是接在这上面。
4. 全程不动你这台电脑的代理设置，aTrust 也不会装到本机。
5. 访问口令只在本机浏览器存一份，签出的会话 10 分钟过期。

上面两块的延迟只说明 SOCKS 端口在听，不代表 aTrust 会话还有效。要确认真的能出去，回概览跑一次全链路自检——它会真的抓一次内网首页。

如果自检失败但容器还是 active，基本就是 aTrust 会话过期了，重新打开登录窗口再登一次即可。