护航Creo正版，严防盗版软件侵袭

开头先把话说难听点：你公司被PTC盯上，大概率不是因为“没买Creo”，而是因为“买了，但买得不够干净”。

我见过太多IT管理员，Licensed数量对得上，发票合同一应俱全，结果一封律师函过来，附件里列着几个IP、几个机器名，说某年某月某日检测到未授权使用。你打开资产台账一看，那几个机器要么是测试机，要么是某个离职员工留下的，要么是供应商来驻场时自己带的笔记本。你觉得自己冤，PTC觉得证据确凿。两边都没错，但罚单最后是你签。

根源得拆开看。PTC在许可协议和法律声明里写得非常直白：它使用data monitoring and scouring technologies来获取和回传非法拷贝使用者的数据，包括机器标识、使用时间、调用的feature。而且它明确保留了民事和刑事追诉的权利，手段包括“public and private surveillance resources”。 换句话说，PTC的正版化不是靠“信任”，是靠一套从安装那一刻就开始运转的检测链路。你买的浮动许可走的是FlexNet Publisher，服务器端PTC看得见；你机器上装的节点锁定许可，安装时生成的host ID、网卡、硬盘序列号也跑不掉；哪怕是破解版或者patch过的exe，里面被埋的检测逻辑照样能把环境信息往外送。很多人以为“断网就没事了”，但Creo不是纯离线工具，只要它有一次在能通外网的环境里启动过，该传的就已经传了。

所以问题不是“买不买”，而是你对自己网络里到底跑着多少种“授权形态的Creo”根本没有一张完整的图。下面这四个坑，踩一个就够你忙半年的。

四个坑，一个比一个安静

坑一：以为“买了浮动许可”就等于“全公司合规了”。

这是最典型的一种错觉。浮动许可解决的是“服务器上check out”的合规，解决不了“有人在自己机器上装了node-locked的破解版”这件事。你服务器的lmstat干干净净，并发数从来没超，但某个工程师为了在家里赶图，从论坛下了一个“Creo 4.0一键安装包”，用U盘拷回公司机器上跑了一次。PTC的检测机制不区分你是“主力生产工具”还是“临时开一下”，它只记录“这个机器上有一个未授权的Creo实例在运行”。 后果就是：你的采购合同和实际运行环境对不上，律师函来的时候你连反驳的数据都拿不出来。

坑二：把“教育版”或者“试用版”当正版用，觉得PTC不会较真。

教育版许可的条款写得很死：只能用于教育目的，不得用于商业或生产目的，不得由客户的常规人员使用。 有些企业从高校合作项目或者离职员工手里接过一套教育版license，或者用试用版延续着干了大半年，觉得“反正能用，PTC又不知道”。问题是，教育版和商业版在授权字符串、feature命名上是有差异的，遥测数据回传之后，PTC后台一拉清单就能区分出来。这个坑的后果不是“补钱”那么简单，它会被定性成明知故犯的未授权商用，谈判的时候你手里没有任何筹码。

坑三：只防“自己人装盗版”，不防“别人带进来的盗版文件”。

论坛上有一个很典型的提问：公司电脑是正版，家里用盗版画的图拷到公司正版机器上打开，PTC能不能查出来。下面有人回得很直接：“用正版软件开盗版文件也是可以检测的到，只是看PTC愿不愿意起诉你们了”。 原因不复杂，Creo的文件里带创建环境的信息，模型内部的特征历史、参数、甚至文件头的某些标识，在跨环境打开时是可以被追溯的。这个坑最隐蔽的地方在于，做这件事的人往往不是恶意，他只是“在家加了个班”。 但你作为IT，最后面对的是“为什么你们的授权环境里出现了非授权实例创建的数据”。

坑四：收到侵权函之后的第一反应是“找关系”或者“拖”。

有做正版化咨询的人总结过，收到侵权函不等于立即罚款，通常有整改期。但很多企业的操作是反过来的：先找中间人压价，压不下来就拖，拖到PTC法务把证据链锁死。PTC的诉讼策略不是随机撒网，它只打“证据足够、对方付得起”的目标。你越拖，它收集到的未授权运行记录越多，按席位折算的索赔基数就越大。拖到最后你不是在谈判，是在接受报价。

四层做法，从“先把家底看清楚”开始

第一层：摸底不是查“装了多少Creo”，是查“有几种授权形态在跑”

别一上来就扫硬盘找creo.exe，那只能告诉你“有安装”，不能告诉你“合不合法”。你需要三张表：FlexNet服务器上当前和历史checkout记录、所有节点的host ID与许可文件的对应关系、以及过去半年内启动过Creo但从未在lmstat里出现过的机器清单。 第三张表是关键，它代表的是“不经过你许可服务器的Creo会话”。数据源可以从终端管理工具或者防火墙日志里拉，看哪些内网IP在非工作时间段访问过PTC相关的更新或验证域名。PTC的遥测是双向的，它在往外传，你也可以从网络侧看到它在往外连。这一步的目的是把“你以为的合规”和“实际在跑的”之间的差额找出来，那个差额就是律师函的素材。

第二层：零成本先把“授权边界”划清楚，别让教育版和试用版留在生产网络里

立即做一件事：把全公司所有Creo许可文件里的授权类型字段拉出来，把EDU、TRIAL、NFR开头的feature全部隔离。 教育版机器要么断网做培训用，要么直接重装成商业授权。同时，在ptc.opt里把TIMEOUTALL压到合理值（比如60分钟），不是为了省许可，是为了让“开着Creo不干活”的会话尽快释放，减少遥测数据里“长期低活跃”的记录。另一个零成本动作是禁止Creo客户端直连外网。 在防火墙层面把Creo相关的验证和更新域名指向一个只有你能看到的日志服务器，而不是直接放行到PTC。这样万一有漏网的未授权实例在跑，你至少是第一个知道的人，而不是PTC法务先知道。gofarlic那类资料里提到的“合规培训”和“审计监控”，本质上就是这一层的事，不花钱，但得有人盯。

第三层：采购策略从“按人数续费”改成“按授权形态补缺”

摸底数据出来之后，你会发现缺口往往不是“均匀缺”，而是集中在某一类。如果缺口是“员工私装的节点锁定破解版”，那你要补的不是浮动许可数量，而是一套能覆盖“偶尔需要用一下”的低成本节点锁定正版，或者干脆用PTC的按需订阅堵住那个口子。 如果缺口是“供应商带来的文件触发了未授权检测”，那采购谈判的时候要把“数据交换合规条款”写进去，要求供应商提供其Creo环境的授权类型声明。别在续费谈判的时候跟PTC销售只谈单价，要谈“授权形态的覆盖范围” 。你手里有第一层和第二层的数据，就能说清楚“我不是不买，我是要把钱花在堵真实缺口上”，这比哭穷有用得多。

第四层：工具放到最后，而且只买“你能自己解读数据”的那种

市面上的许可管理工具，gofarlic也好，OpenLM也好，解决的是可视化和回收自动化。但正版化这件事上，工具最大的价值不是“帮你管理许可”，是帮你留下证据链。你需要的是一个能把“哪台机器、什么时间、以什么授权形态、调用了哪些feature”记下来的系统，而不是一个只会告诉你“并发峰值是多少”的仪表盘。注意，不要买那种只读FlexNet服务器日志的工具，它看不到节点锁定和离线实例。 要找能结合终端侧扫描或者网络侧流量分析的产品。但工具永远放在最后，因为如果你连第一层的三张表都拉不出来，再贵的工具也只是把糊涂账变成好看的糊涂账。

一个被一封函逼出来的流水账

前两年接触过一家做汽车零部件的中型厂，Creo浮动许可大概80个席位，合同、发票、维护记录都对得上，IT负责人一直觉得“我们是正版用户”。某天PTC的渠道法务发来一封函，附件里列了12台机器，说在过去九个月里检测到这些机器上存在未授权的Creo Parametric会话。IT把名单拉出来一看，其中7台是测试台架和返修工位的公用机，3台是已经离职的外聘工程师留下的笔记本，剩下2台是供应商驻场时自带的设备。最麻烦的是那7台公用机，上面装的是从网上下的“绿色版”，因为“测试台架不需要买正式许可，能用就行”。

他们做的事情很土，但顺序对了。先拿终端管理工具把全厂host ID和授权文件对了一遍，把EDU和来路不明的安装全部清掉，公用机统一改成走浮动许可的只读审图模式，不给建模feature。然后跟PTC谈的时候没哭穷，拿出来的数据是：过去十二个月浮动许可的实际有效建模并发峰值是61，80个席位里有19个的长期持有者是“只审图不建模”的岗位。最后的方案不是增购80，是补了12个低档位的节点锁定许可给公用机和返修工位，同时把浮动池从80压到68，总年费基本持平，但那12台机器的检测风险清零了。 那封函最后以整改结案，没有走到赔偿。负责人后来说了一句挺实在的话：“我们之前不是没花钱，是钱花在了‘证明自己没盗版’最不需要的地方。”

正版化这件事，PTC手里的牌是遥测和法务，你手里的牌只有一张：在它找你之前，你自己先找到那个“买了正版但没盖住全部授权形态”的缝隙。 缝隙不一定是盗版安装包，可能是一台没人管的测试机，一个离职员工的旧笔记本，或者一份教育版许可被拿来干了商业活。把这些东西的清零成本，永远低于一封律师函的谈判成本。