Tailscale

Tailscale — 基于WireGuard的零配置虚拟组网工具，让设备像在同一个局域网内通信。

如果你有过远程访问家里NAS、公司内网服务器，或者和朋友联机打游戏却卡在“端口转发”上的经历，那你一定懂那种抓狂的感觉——公网IP贵、DDNS不稳定、防火墙规则绕得头晕。而Tailscale的出现，几乎把这些问题一巴掌拍平了。

我第一次用Tailscale的时候，心里就两个字：“就这？”——装好客户端，登录账号，然后…没了。所有设备自动出现在同一个虚拟网络里，直接ping通。不需要配置端口转发，不需要搞什么DDNS，甚至连公网IP都不需要。它底层用的是WireGuard协议，但把复杂的手动配置全自动了，还加了NAT穿透和打洞技术。简单说：它帮你建立一个私有的虚拟局域网（Mesh网络），你任何设备只要装了Tailscale，就能像在同一个路由器下一样互相访问。

它能解决什么问题？

• 家里NAS、树莓派、服务器，出门在外随时访问
• 公司内网资源，不用VPN账号密码，不用暴露端口
• 和异地朋友联机玩《我的世界》《泰拉瑞亚》，直接虚拟局域网
• 跨平台访问：Windows、macOS、Linux、iOS、Android、甚至路由器（OpenWrt）全支持
• 免费版支持20台设备，个人用绰绰有余

---

下载方式

直接去官网下载对应系统的客户端，或者用命令行安装：

官网下载

官网会智能识别你的操作系统，如果没识别对，手动选一下就行。支持Windows、macOS、Linux、Synology、QNAP、Ubuntu Core等。

---

安装方法

Windows / macOS / iOS / Android
直接下载安装包，下一步下一步，安装完打开，用Google、GitHub或Microsoft账号登录。iOS和Android需要从应用商店搜“Tailscale”。

Linux
以Ubuntu/Debian为例，终端执行：

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

注意：tailscale up 会弹出一个登录链接，复制到浏览器登录即可。登录完成后，终端会显示“Success.”。

OpenWrt路由器
如果你的路由器刷了OpenWrt，可以在软件包里搜 tailscale，或者用SSH安装：

opkg update
opkg install tailscale
/etc/init.d/tailscale enable
/etc/init.d/tailscale start
tailscale up

安装完路由器端后，整个内网设备都可以通过路由器访问，不用每台设备都装客户端。不过注意，OpenWrt需要额外配置路由转发，具体可以参考官方文档。

群晖NAS
套件中心搜“Tailscale”，安装后打开，登录账号，然后在“控制面板-网络-网络界面”里能看到一个叫“Tailscale”的虚拟网卡，默认自动分配IP。

---

基础使用教程

1. 登录并查看设备

安装完客户端后，登录你的Tailscale账号（建议用Google或GitHub账号，省事）。登录后，打开 Tailscale管理后台，你会看到所有已登录的设备列表，每个设备都有一个唯一的Tailscale IP（通常是100.x.x.x）。

2. 互相访问

假设你有两台设备：

• 电脑A：Tailscale IP 100.64.0.1
• 手机B：Tailscale IP 100.64.0.2

在电脑A的命令行里 ping 100.64.0.2，如果通了，说明组网成功。接下来，你可以：

• 用SSH连接：ssh user@100.64.0.2
• 浏览器访问内网服务：http://100.64.0.1:8080
• 挂载NAS共享文件夹：\\100.64.0.1\share（Windows）

3. 开启MagicDNS（推荐）

在管理后台的“DNS”页面，开启“MagicDNS”。这样你就不用记IP了，设备名会变成类似 computer-name.tailnet-name.ts.net 的域名，直接访问更方便。比如家里NAS叫“nas”，远程访问就是 nas.tailnet-name.ts.net:5000。

4. 共享子网（让其他设备通过你的路由器上网）

如果你想让手机通过家里的Tailscale节点上网（比如用家里IP访问某些网站），可以在节点上开启子网路由：

# 在Linux/树莓派上
sudo tailscale up --advertise-routes=192.168.1.0/24

然后在管理后台的“Machines”页面，找到该节点，点击“...”选择“Edit route settings”，勾选“Approved”。这样你的手机连上Tailscale后，就能访问家里整个192.168.1.x网段了。

---

进阶技巧

1. 使用自定义DERP服务器

Tailscale默认使用官方的中继服务器（DERP），但在国内连接速度可能不稳定。你可以自建DERP服务器，用一台有公网IP的VPS，部署一个轻量级的DERP服务。具体步骤：

• 在VPS上安装Go环境
• 克隆官方DERP代码：git clone https://github.com/tailscale/tailscale
• 编译并运行DERP服务器（需配置域名和SSL证书）
• 在Tailscale管理后台的“Access Controls”里添加DERP Map

不过说实话，如果只是普通使用，官方DERP已经够用，除非你经常跨国访问且延迟敏感。

2. 使用ACL（访问控制列表）精细管理权限

Tailscale的免费版支持ACL，你可以用JSON文件控制哪些设备可以互相访问。比如只允许手机访问NAS，不允许访问电脑：

{
  "acls": [
    {"action": "accept", "src": ["100.64.0.2"], "dst": ["100.64.0.1:22,5000"]},
    {"action": "accept", "src": ["*"], "dst": ["*:443"]}
  ]
}

在管理后台的“Access Controls”页面编辑即可。

3. 与Docker容器集成

如果你用Docker跑服务，可以让容器通过Tailscale网络暴露。比如在docker-compose里添加：

services:
  myapp:
    image: nginx
    network_mode: "service:tailscale"
  tailscale:
    image: tailscale/tailscale:latest
    environment:
      - TS_AUTH_KEY=你的认证密钥
      - TS_HOSTNAME=docker-nginx
    volumes:
      - /var/lib/tailscale:/var/lib/tailscale
    cap_add:
      - NET_ADMIN

这样容器会通过Tailscale的虚拟网卡访问，其他设备直接访问docker-nginx.tailnet-name.ts.net即可。

4. 作为出口节点（Exit Node）

如果你想让所有Tailscale设备的流量都通过某台机器（比如家里的树莓派）转发，从而获得家里IP或绕过某些限制，可以在该节点上开启Exit Node：

sudo tailscale up --advertise-exit-node

然后在管理后台的“Machines”页面批准该节点。之后在客户端（手机/电脑）设置里，选择该节点作为Exit Node即可。注意：国内使用可能涉及合规问题，建议仅用于测试环境。

---

最后说两句

Tailscale对我来说最大的价值是“无感”——装好之后我几乎忘了它的存在，直到需要远程访问家里NAS时，才发现它已经在背后默默工作。相比传统VPN的复杂配置，它就像“傻瓜式组网”，但底层又足够安全（WireGuard加密）。免费版20个设备，个人和家庭完全够用。

如果你还在用端口转发、DDNS或者各种第三方内网穿透工具，强烈建议试试Tailscale。下载链接再放一次：Tailscale官网

对了，如果你用的是国内网络环境，可能会遇到登录页面加载慢的问题，可以尝试用手机热点或者换个时间段试试。如果实在不行，可以考虑用Headscale（自建控制服务器），不过那就是另一个故事了。