Tailscale¶
什么时候看这一套：要把一台新机器接进实验室的私有网、要从宿舍连回实验室、要给一台没有公网 IP 的服务器一个稳定入口，或者用着用着连不上了。
一、这套讲什么¶
Tailscale 基于 WireGuard，用控制面下发密钥与网段信息，让设备之间直接建立加密隧道。设备加入同一个 tailnet 后，各自拿到稳定的内网地址与域名，跨 NAT、跨运营商都能互访。
Tailscale 解决的是「怎么让分散的设备互相访问」，不解决「服务器上跑什么」。所以这套只讲组网、路由、暴露与排障，服务本身的部署另看参考里的对应页面。
适用：实验室的服务器、办公机与个人设备，以及需要远程接入的场景。
二、按顺序读¶
| 顺序 | 页面 | 读完能做到 |
|---|---|---|
| 1 | 01-组网与直连 | 装上、加入 tailnet、确认两台机器能互访 |
| 2 | 02-设备、标签与 ACL | 给设备分类，用 ACL 限定谁能访问谁 |
| 3 | 03-子网路由与出口节点 | 把整个网段接进来，让流量从指定设备出去 |
| 4 | 04-serve 与 funnel | 把本机服务暴露给 tailnet 或公网 |
| 5 | 05-排障与安全 | 连不上时定位到打洞、DNS、ACL 还是证书 |
三、这套包含的页面¶
| 名称 | 一句话 | 难度 | 状态 | 更新 |
|---|---|---|---|---|
| Tailscale 组网与直连 | 装上、加入 tailnet、确认两台机器能互访，并判断流量走直连还是中继。 | 入门 | 草稿 | 2026-10-21 |
| Tailscale 设备、标签与 ACL | 给设备分类打标签，用 ACL 写清谁能访问哪台机器的哪个端口。 | 进阶 | 草稿 | 2026-10-21 |
| Tailscale 子网路由与出口节点 | 把整个内网网段接进 tailnet，或者让流量从某台设备统一出去。 | 进阶 | 草稿 | 2026-10-21 |
| Tailscale serve 与 funnel | 把本机服务挂到 tailnet 域名下；确实要公开时再用 funnel。 | 进阶 | 草稿 | 2026-10-21 |
| Tailscale 排障与安全 | 连不上时按状态、网络、路由、DNS、权限五层依次看；安全上默认收紧。 | 进阶 | 草稿 | 2026-10-21 |
四、这套的边界¶
- 不重写官方文档：命令参数以官方命令参考为准，这里只记实验室的实际用法与踩过的坑。
- 不做内网穿透的对照评测：只讲当前在用的方案。
- 不代替账号与权限管理：谁能进 tailnet、谁是管理员，按实验室分工在控制台维护。
- 不把 funnel 当免备案入口：公网暴露要单独评估，见排障与安全。
五、官方资料¶
- 安装：https://tailscale.com/download
- 命令参考：https://tailscale.com/kb/1080/cli
- ACL 语法：https://tailscale.com/kb/1018/acls
- 子网路由：https://tailscale.com/kb/1019/subnets
- 出口节点：https://tailscale.com/kb/1103/exit-nodes
- serve：https://tailscale.com/kb/1242/tailscale-serve
- funnel：https://tailscale.com/kb/1223/funnel
核实日期：2026-10-21。