如果你配置过传统 VPN（OpenVPN、手动 WireGuard），大概率经历过证书管理、防火墙规则、端口转发和静态 IP 配置的痛苦。而当你的设备不止一台——Mac、Windows、Linux、手机、NAS 都需要互相访问时，这种痛苦会被成倍放大。

Tailscale 就是为终结这些痛苦而生的。这篇文章从快速组网讲到 ACL 安全策略，帮你用最短时间搭起一个既好用又安全的私有网络。

为什么你需要 Tailscale？

Tailscale 基于 WireGuard 协议构建，但去掉了所有复杂的手动配置环节。它的核心理念是：在你所有设备之间建立一个加密的"专属局域网"（称为 Tailnet），无论这些设备身在何处——家里、办公室、云服务器，甚至咖啡店的 Wi-Fi 下。

Tailscale 的核心优势

• P2P 网状直连，低延迟高带宽：传统 VPN 采用"星型"结构，所有流量经过中心服务器，带宽和延迟都受限于这台服务器。而 Tailscale 会尝试在设备之间建立点对点（P2P）直连，流量不经过任何中转，实现"带宽跑满、延迟最低"。只有在 NAT 穿透失败时，才会退化为官方或自建的 DERP 中继服务器进行加密转发。
• 零配置，开箱即用：无需手动配置防火墙端口转发，无需生成和分发复杂的证书与密钥。设备登录同一个 Tailscale 账号后自动组网，并可通过 MagicDNS 直接用设备名（如 my-macbook）互相访问，无需记忆 IP 地址。
• 安全是设计的核心：设备私钥永不离开本机，Tailscale 官方也无法解密你的网络流量；配合 ACL 策略可以做到"默认拒绝、按需授权"，把零信任落地到每一台设备。

快速上手：3 分钟组建你的专属网络

1. 注册与安装：访问 Tailscale 官网 注册账号（支持 Google、GitHub 等账号登录），然后在所有设备（Windows、macOS、Linux、iOS、Android）上下载并安装 Tailscale 客户端。
2. 登录组网：在所有设备上登录同一个 Tailscale 账号。登录完成后，这些设备会自动加入同一个 Tailnet，并分配到一个 100.x.x.x 格式的虚拟 IP。
3. 启用 MagicDNS（强烈推荐）：登录 Tailscale 管理后台（Admin Console），在 “DNS” 选项卡下开启 “MagicDNS”。之后就可以直接用设备名访问其他设备，比如在浏览器输入 http://my-nas，或通过 ssh user@my-work-pc 连接，彻底告别 IP 地址。

核心场景与功能详解

1. 场景：远程访问家里的全部设备（子网路由 Subnet Router）

家里有多台设备（智能电视、打印机、摄像头、没装 Tailscale 的旧电脑）时，为每台设备都装客户端显然不现实。这时可以把家中任意一台安装了 Tailscale 的设备（树莓派、NAS 或软路由）配置为子网路由（Subnet Router）。它就像一个"网关"，把整个家庭内网（如 192.168.1.0/24）通过 Tailscale 网络广播出去。

配置步骤：

• 第一步：在网关设备上宣告路由。在作为网关的设备上（以 Linux/macOS 为例）执行：

  1tailscale up --advertise-routes=192.168.1.0/24
  

  （将 192.168.1.0/24 替换为你的实际家庭内网网段）

• 第二步：在控制台批准。登录 Tailscale 管理后台，找到这台设备，点击 “…” 选择 “Edit route settings”，勾选你宣告的网段并保存。

配置完成后，你在外面用手机（连接 Tailscale）就可以直接访问家里的任何设备，比如通过 http://192.168.1.1 访问路由器管理页，或通过 http://192.168.1.100 访问打印机。

2. 功能：安全地分享文件（Taildrop）

Taildrop 类似苹果的 AirDrop，但支持 Windows、Mac、Linux、iOS 和 Android 全平台。你可以把文件直接发送给 Tailnet 中的任何设备：

• macOS：点击菜单栏 Tailscale 图标 → “Send File…"。
• Windows：右键点击文件 → “Send with Tailscale”。
• iOS/Android：在系统分享菜单中选择 Tailscale。

3. 功能：免密 SSH 登录（Tailscale SSH）

使用 Tailscale SSH，无需再手动管理和分发 SSH 公钥。它用 Tailscale 的身份体系做认证和授权，配合管理后台的 ACL 策略，可以精确控制谁能通过 SSH 登录哪台服务器、以什么用户身份登录。

在服务端启用 SSH 功能：

1tailscale up --ssh

之后直接 ssh username@device-name 即可连接，不需要密码，也不需要密钥文件。

安全纵深：从"全信任"到"零信任”

Tailscale 默认的"全部允许"策略虽然方便，但存在严重安全隐患：一旦你的一台设备（尤其是有公网 IP 的云服务器）被攻破，攻击者就能以此为跳板访问你网络中的所有其他设备。这就是"扁平化内网"风险。

要构建真正安全的网络，必须配置访问控制列表（ACL），遵循"最小权限原则"。

第一步：用标签（Tags）对设备进行角色划分

标签可以将设备进行逻辑分组，而不是依赖易变的 IP 地址或用户。例如，可以定义三类角色：

• tag:admin：管理员终端（如你的工作电脑和手机），拥有最高权限。
• tag:server：受保护的内部服务（如家庭 NAS、数据库服务器）。
• tag:public-vps：暴露在公网的云服务器（如运行网站、DERP 中继的机器），属于低信任区设备。

要使用标签，首先需要在管理后台的 “Access Controls” 页面定义它们的所有者（tagOwners）。

第二步：编写 ACL 策略，实现隔离

在 “Access Controls” 页面，删除默认的"全部允许"规则，替换为以下策略文件：

 1{
 2  // 1. 定义标签所有者（只有管理员能打这些标签）
 3  "tagOwners": {
 4    "tag:admin": ["autogroup:admin"],
 5    "tag:server": ["autogroup:admin"],
 6    "tag:public-vps": ["autogroup:admin"]
 7  },
 8  // 2. 核心访问控制规则（默认拒绝）
 9  "acls": [
10    // 规则A：允许管理员访问所有设备（最高权限）
11    {
12      "action": "accept",
13      "src": ["tag:admin"],
14      "dst": ["*:*"]
15    },
16    // 规则B：允许服务器之间互相通信（如备份）
17    {
18      "action": "accept",
19      "src": ["tag:server"],
20      "dst": ["tag:server:*"]
21    }
22    // 规则C：public-vps 没有配置任何 "accept" 规则，
23    // 因此它无法主动连接任何设备，但可以被管理员访问（规则A）
24  ]
25}

这套策略的意义在于：

• 管理员（tag:admin） 仍可访问所有设备。
• 内部服务器（tag:server） 之间可以互相通信。
• 公网 VPS（tag:public-vps） 被完全隔离。即使它被黑客控制，黑客也无法利用它作为跳板访问你的家庭 NAS 或其他内网资源——“一处突破，不至于全网遭殃”。

进阶安全实践

• 端口级限制：可以在规则中指定端口。例如只允许管理员通过 SSH（22 端口）访问服务器，而数据库端口（如 5432）只允许特定的应用服务器访问。
• 设备状态检查（Device Posture）：可以配置策略要求接入设备必须满足特定的安全状态（如运行最新操作系统、安装特定安全软件），否则即使身份凭证正确也会被拒绝访问。
• 即时（JIT）访问：对于高风险的生产环境，可以使用临时节点（Ephemeral Nodes）或通过 Accessbot 实现审批制访问，权限在任务完成后自动回收。

总结

Tailscale 不仅仅是一个简化版的 WireGuard。它通过 MagicDNS、子网路由、Taildrop 和强大的 ACL 策略，把复杂的网络组网和安全配置变得清晰而易于管理。从个人家庭实验室到企业的零信任网络转型，Tailscale 都提供了一套现代、安全且高效的解决方案。其"默认拒绝 + 最小权限"的安全理念，为我们的设备和数据提供了坚实保障。

相关文章

• 解决 SSH 端口转发错误：administratively prohibited
• Kubernetes 部署 SSH 跳板机：用 autossh 打通内网访问
• autossh SSH 反向隧道：从 Docker 到 Kubernetes 部署