2026年Jenkins混合拓扑：Controller驻轻量VPS与云Mac Agent的JNLP回连及企业资源池落地清单

把 Jenkins Controller 放在一台轻量 VPS 上、把 Apple Silicon 构建能力放到云 Mac Agent，是 2026 年很常见的一种「控制面小而稳、算力面弹性大」的混合拓扑。本文只谈可执行取舍：为何优先 JNLP 回连、TLS 与密钥怎么拆、企业资源池上线前该勾选哪些项，以及如何和你现有的弹性池策略对齐。

为什么 Controller 更适合驻轻量 VPS？

Controller 负责队列、权限模型与插件生态，磁盘与数据库写入频繁，但 CPU 峰值往往来自插件页面与 Groovy 解析，而不是编译本身。把它放在固定公网入口的 VPS 上，可以获得稳定的 DNS、证书与备份窗口；算力则交给带 Xcode 与签名材料的云 Mac，避免在构建高峰时把 UI 线程与队列争用绑在同一台机器上。

云 Mac Agent：JNLP 回连要盯住的四点

云机房里的 Mac 往往没有稳定入站公网，更稳妥的是让 Agent 以 JNLP/WebSocket 方式主动出站连回 Controller 暴露的 443（或经反代后的同端口）。落地时务必核对：Controller URL 使用 HTTPS、隧道证书链完整、代理仅放行必要域名，以及 agent.jar 与 remoting 版本与 Controller 主版本匹配，否则会出现「节点在线但 channel 频繁 reset」的假健康状态。

# 在云 Mac 上，使用节点页面提供的 secret 与 agent 名称
java -jar agent.jar \
  -jnlpUrl https://jenkins.example.com/computer/mac-pool-01/slave-agent.jnlp \
  -secret ******** \
  -workDir "~/jenkins-agent"

企业资源池落地清单（勾选版）

下面这张表适合打印成评审附件：左侧是风险，右侧是上线前最小闭环。弹性池与队列策略的深入对比，见 2026年短周期峰值构建：GitHub Actions 自托管 macOS Runner 该用云 Mac 弹性池还是常驻节点？；开通后一小时内完成 Runner 与网络自检的流程，可参考 2026年短周期突发构建并网：云Mac开通后Runner注册、网络自检与最小权限令牌的30–60分钟落地清单与FAQ。突发提审场景下「买还是租」的决策矩阵，可在博客同栏检索「应急提审」一文对照。

混合拓扑的本质，是把「编排与合规」留在可控的小控制面，把「重编译与签名」交给可横向扩容的 macOS 算力。把回连、证书与令牌三件事做对，资源池才能真正承接企业发版节奏，而不是在第一次大版本夜构建时集体救火。