Tailscale 入门手册

互联网通信是把数据拆成一个个小包裹（数据包）来发送的。每个包裹上都写着“收件人”和“寄件人”，相当于地址的就是 IP 地址。

• 路由器 ── 站在家里（局域网 LAN）和互联网（广域网 WAN）交界处的设备。家里的设备上网，一定会经过它
• 端口号 ── 在一台设备内部区分“发给哪个应用”的房间号。网页是 443，远程桌面是 3389，都是约定好的
• DNS ── 把“example.com”这样的名字查成 IP 地址的电话簿。人记名字，机器靠号码

一个家只有一个公网 IP，家里的多台设备却能同时上网，靠的是路由器做的 NAT（地址转换）。

过去，人们用这些办法在墙上开洞：

• 端口映射（端口转发） ── 手动往路由器的表里加一条“来到这个号码就转给这台设备”。但这个洞是对全世界开的，也会成为攻击目标
• 很多线路根本开不了 ── 手机的移动网络和部分宽带，运营商那边还有一层 NAT（CGNAT）。日本常见的 v6Plus 等“IPv4 over IPv6”方式，可用端口有限，甚至无法做端口映射
• 自建 VPN 服务器 ── 在家里开一个 VPN 入口。安全，但终究还是要端口映射和不少设置

VPN（虚拟专用网络）是在互联网之上建立加密的“专用通道（隧道）”，让相隔很远的设备像在同一个家里一样互通的技术。很多人都用过公司的 VPN。

传统 VPN 是所有人都连到中央 VPN 服务器（枢纽）的结构。哪怕对方就在隔壁，通信也要先去枢纽再折回来。枢纽一拥挤，大家都慢；枢纽一停，大家都断。

Tailscale 的关键，是把“决定怎么连”和“搬运数据”这两件事分开：前者由 Tailscale 公司的服务器负责，后者由每台设备自己完成。

• 协调服务器 ── tailnet 的“名册管理员”。管理有哪些设备加入、各自的公钥和联系方式，并分发给各设备。数据本身不经过这里。即使它暂时停机，已经连上的设备之间也能继续通信
• WireGuard 密钥 ── 每台设备自己生成密钥对，私钥从不离开设备。交给服务器的只有公钥，所以 Tailscale 公司也看不到通信内容
• 100.x.y.z 地址 ── 每台设备会从 100.64.0.0/10 范围内分到固定地址。从 Wi-Fi 切换到移动网络，这个号码也不变
• MagicDNS ── 只用设备名（如 my-nas）就能连上的功能。新建的 tailnet 默认开启

穿过 NAT，建立直连

如第二章所说，平时从外面来的通信会被 NAT 丢掉。Tailscale 让双方同时向对方发出“往外走”的通信，使各自路由器的对应表里生成记录，从而打通直连的路（NAT 穿透，俗称“打洞”）。

核心就是“让自己的设备无论在哪里都能安全互连”。常见的用法如下：

反过来，向不特定的大众发布网站并不是它的本职（虽然有一个叫“Funnel”的功能可以做到）。另外，要装到公司电脑上，请务必先确认公司规定并取得信息系统部门的许可。

• 账号 ── Tailscale 没有自己的密码，用 Google、Microsoft、GitHub、Apple 账号（或 OIDC）登录。用哪个账号创建的很重要，请记好
• 统一用同一个账号 ── 自己的所有设备都用同一个账号登录。换了账号，就会进入另一个 tailnet
• 至少两台 ── 得有连接的对象，所以至少装两台。本文以“家里的 Windows 电脑”和“Mac・手机”为例

下载地址如下（均为官方）。撰写本文时的最新版本是 1.102.4。

在第一台设备上装好应用并登录时，账号就会自动建立。也可以先在浏览器里创建（login.tailscale.com/start）。

用公司域名的邮箱注册，会进入面向组织的 Enterprise 套餐 14 天试用。个人试用请用 Gmail 等个人账号。

先从“被连接的一方”——家里的 Windows 电脑开始。

Mac 版有三种获取方式，官方推荐从 Tailscale 网站安装的独立版：更新不用等 App Store 审核，功能也没有限制。图省事的话，用 Mac App Store 版也可以。

登录后，可以从菜单栏图标开关连接、查看设备列表。2026 年 3 月起，像本文开头图片那样的窗口界面也正式可用了。即使菜单栏图标被 MacBook 的刘海挡住，也能从窗口里操作。

如果装的是 App Store 版，步骤 02〜03 换成“允许添加 VPN 配置”即可。另外，官方说明 App Store 版有时会和“屏幕使用时间”的网页过滤冲突。

手机的“VPN”同一时间只能用一个。打开其他 VPN 应用（公司 VPN、广告拦截应用等），Tailscale 就会断开。

在浏览器打开管理后台（Admin console 的 Machines），就能看到所有加入 tailnet 的设备。这里是所有设置的大本营。

• ADDRESSES ── 各设备以 100 开头的地址。点右边的“∨”可以连同 MagicDNS 名一起复制
• LAST SEEN ── 绿色“Connected”表示在线；离线时显示最后在线的时间
• Add device ── 按操作系统告诉你新设备的下载地址

给设备起个好认的名字

设备名会根据系统的主机名自动生成（如“desktop-7k2…”）。在行最右侧的“…”→Edit machine name 里改掉，以后用名字连接会方便很多。

一直连着的设备，取消密钥期限

为了安全，每台设备的密钥都有期限（新建的 tailnet 为 180 天），过期后需要重新登录。如果在外面要用的家里电脑过期了，就只能等回家再说。这类设备请在“…”→Disable key expiry 取消期限。

① 先确认能不能通

Windows 在命令提示符或 PowerShell 里，Mac 在应用设置中安装 CLI 后在终端里，都可以使用下面的命令。

# 已加入设备的列表（地址・名称・系统・状态）
tailscale status

# 经 Tailscale 能否到达对方，是直连还是中继
tailscale ping my-nas
pong from my-nas (100.88.4.5) via 203.0.113.9:41641 in 9ms   ← 直连
pong from my-nas (100.88.4.5) via DERP(tok) in 38ms         ← 中继

显示内容仅为示例。即使一直是“via DERP”也能通信，多试几次有时会切换成直连。

② 用名字连接（MagicDNS）

在浏览器或应用里，可以直接用设备名代替 IP 地址。打开 NAS 管理页面时，只要在地址栏输入 http://my-nas:5000 之类即可。

③ 在外面操作家里的 Windows 电脑（远程桌面）

完全不需要在路由器上做端口映射。远程桌面的 3389 端口一次也没有对互联网开放。

④ 在自己的设备之间传文件（Taildrop）

Taildrop 目前仍是 Alpha 功能，首先要在管理后台的 Settings → General 里打开“Send Files”。Mac 另外还要在系统设置 → 通用 → 登录项与扩展 → 共享中打开 Tailscale。

• 发送 ── Mac：访达右键 →“共享”→ Tailscale ／ Windows：右键 →“Send with Tailscale”／ iPhone・Android：分享按钮 → Tailscale
• 接收 ── Mac 和 Windows 存到“下载”文件夹；iPhone・Android 从通知打开
• 限制 ── 只能在自己的设备之间发送（即使在同一个 tailnet，也不能发给别人的设备）

⑤ 让外出时的通信经由家里（出口节点）

使用出口节点时，家里宽带的速度就是上限。如果还想使用手边的打印机等本地设备，请打开“Allow local network access”。

• 不用的设备要删除 ── 卖掉或丢失的设备，在后台“…”→Remove，该设备的密钥会立即失效
• Tailscale 公司停服了怎么办？ ── 协调服务器停机时，已连上的设备之间仍能继续通信，但无法建立新连接或修改设置
• 想全部自己掌控的人 ── 有自己运行协调服务器的开源兼容实现（Headscale）。不过运维就得自己负责了