Tailscale完全指南2026：为VPS、团队和Homelab搭建网状VPN

Tailscale是什么？

Tailscale是一个基于WireGuard协议构建的网状VPN服务。WireGuard是一种现代VPN协议，比OpenVPN或IPSec更快、更轻量、更安全。与传统VPN的主要区别在于：Tailscale不将所有流量路由通过中央VPN服务器，而是使设备之间点对点直接连接，延迟更低，没有单点故障。

在多台设备上安装Tailscale后——无论是VPS、笔记本电脑、手机还是Raspberry Pi——所有设备都会加入您的tailnet（私人网络），并可通过100.64.x.x/10 CGNAT范围内的IP地址直接通信，无需任何防火墙端口转发。

Tailscale公司总部位于加拿大多伦多。客户端为开源软件（MIT许可证）；协调服务器（密钥交换和ACL管理）运行在Tailscale的基础设施上。对于需要完全控制的用户，也存在名为Headscale的自托管替代控制平面。

工作原理：WireGuard + 协调服务器

Tailscale分为两个层面：

1. 数据平面——通过WireGuard在设备间实际传输流量（尽可能点对点）
2. 控制平面——Tailscale的协调服务器在节点间分发WireGuard公钥并执行ACL策略。您的实际流量不经过此服务器。

节点A需要与节点B通信时的流程：

1. 两个节点通过协调服务器交换WireGuard公钥
2. Tailscale使用STUN/ICE NAT穿透尝试建立直接对等路径
3. 如果直连成功（大多数情况），流量直接传输
4. 如果NAT穿透失败（严格防火墙环境），流量通过最近的DERP（Designated Encrypted Relay for Packets）服务器中继

DERP服务器在全球部署，包括亚洲，即使需要中继时也能保持较低延迟。所有DERP中继流量仍然使用WireGuard密钥进行端对端加密——DERP服务器无法读取您的流量。

在Linux VPS上安装Tailscale（Ubuntu/Debian）

安装非常简单——Tailscale提供官方安装脚本：

第一步：安装

# 官方安装脚本（推荐）
curl -fsSL https://tailscale.com/install.sh | sh

# Ubuntu/Debian手动添加仓库
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/focal.gpg | sudo apt-key add -
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/focal.list | sudo tee /etc/apt/sources.list.d/tailscale.list
sudo apt update && sudo apt install tailscale

第二步：认证

# 启动Tailscale并认证（会生成一个在浏览器中打开的URL）
sudo tailscale up

# 查看此VPS的Tailscale IP
tailscale ip -4

# 查看tailnet中的所有节点
tailscale status

第三步：启用自动启动

sudo systemctl enable tailscaled
sudo systemctl start tailscaled

启用IP转发（子网路由器/出口节点必需）

# 永久启用IP转发
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

CentOS / RHEL / AlmaLinux

sudo dnf install tailscale
sudo systemctl enable --now tailscaled
sudo tailscale up

在Windows和macOS上安装Tailscale客户端

Windows

从tailscale.com/download/windows下载。正常安装；Tailscale在Windows启动时自动运行。使用与VPS相同的账户登录——它将立即出现在tailnet中。

macOS

可在Mac App Store或tailscale.com/download/mac下载。菜单栏图标处理所有连接。只需登录即可。

iOS和Android

两个平台都有官方应用程序。下载后用相同账户登录，所有设备即可连接。

通过Tailscale安全SSH

# 通过Tailscale IP进行SSH——无需向互联网暴露端口22
ssh [email protected]

# 启用MagicDNS后，可直接使用主机名
ssh user@my-vps

子网路由器：将整个局域网暴露给Tailnet

子网路由器是配置为向整个tailnet通告本地网络子网的Tailscale节点。其他tailnet节点可以访问该子网上的设备，而无需在每台设备上安装Tailscale。

常见使用场景

• 在家中访问办公室局域网（服务器、打印机、NAS），无需在每台办公室设备上安装Tailscale
• 通过Raspberry Pi暴露家庭网络（192.168.1.0/24），随时随地访问家庭设备
• 让远程团队访问内部暂存环境，无需传统VPN网关

配置子网路由器

# 在将作为子网路由器的节点上
sudo tailscale up --advertise-routes=192.168.1.0/24

# 然后在管理控制台 > 机器 > 选择节点 > 编辑路由设置
# 启用您刚通告的子网

# 在需要使用子网的客户端节点上
sudo tailscale up --accept-routes

出口节点：通过VPS路由所有流量

出口节点将您设备的所有互联网流量路由通过指定的Tailscale节点，功能上类似于使用传统VPN。典型使用场景：

• 使用VPS的公共IP浏览互联网
• 在不受信任的公共Wi-Fi上保护流量安全
• 访问特定国家的地理限制内容

将VPS设置为出口节点

# 在要用作出口节点的VPS上
# （首先必须启用IP转发——参见安装部分）
sudo tailscale up --advertise-exit-node

# 在管理控制台 > 机器 > 您的VPS > 编辑路由设置
# 启用"用作出口节点"

从客户端使用出口节点

# Linux/macOS
sudo tailscale up --exit-node=100.64.x.x
sudo tailscale up --exit-node=my-vps

# 禁用出口节点
sudo tailscale up --exit-node=

# Windows：Tailscale系统托盘图标 > 使用出口节点 > 选择节点

MagicDNS：Tailnet中的自动DNS主机名

MagicDNS自动为每个Tailscale节点提供DNS主机名，无需记忆IP地址。tailnet中的所有节点可以通过名称相互解析。

启用方法：管理控制台 > DNS > 开启MagicDNS。启用后：

• 名为my-server的节点可通过my-server.tailnet-name.ts.net访问
• 可使用短主机名：ssh user@my-server、curl http://my-server:8080
• 在所有操作系统平台上均可使用

访问控制列表（ACL）：精细权限控制

默认情况下，tailnet中的所有节点可以自由通信。对于生产环境，ACL允许您定义哪些节点可以访问哪些其他节点的哪些端口。ACL以HuJSON格式编写，从管理控制台 > 访问控制管理：

{
  "groups": {
    "group:dev": ["[email protected]", "[email protected]"],
    "group:ops": ["[email protected]"]
  },
  "acls": [
    // 开发人员只能访问开发服务器的SSH、HTTP、HTTPS
    {
      "action": "accept",
      "src": ["group:dev"],
      "dst": ["tag:dev-server:22", "tag:dev-server:80", "tag:dev-server:443"]
    },
    // 运维团队有完全访问权限
    {
      "action": "accept",
      "src": ["group:ops"],
      "dst": ["*:*"]
    }
  ],
  "tagOwners": {
    "tag:dev-server": ["group:ops"],
    "tag:prod-server": ["group:ops"]
  }
}

Tailscale套餐与价格（2026）

Tailscale提供四个主要套餐。请务必在tailscale.com/pricing验证最新价格，因为价格可能会变化：

*2026年10月的近似价格——请务必在tailscale.com/pricing查验最新价格。Tailscale采用基于席位的计费方式。

套餐功能对比

• Personal（免费）： MagicDNS、子网路由器、出口节点、ACL，最多3个用户、100台设备
• Standard： 所有Personal功能 + 无限用户、自定义DNS、优先支持
• Premium： 所有Standard功能 + SSO/SAML、SCIM配置、审计日志、自定义DERP服务器
• Enterprise： 所有Premium功能 + 专属支持、合规功能、年度发票

Tailscale与自托管WireGuard对比

Headscale：自托管控制平面

对于需要最大隐私和控制权的用户，Headscale是Tailscale协调服务器的开源实现。将其部署在自己的VPS上，并将Tailscale客户端指向它——您可以获得Tailscale的用户体验，同时完全控制控制平面。

实际使用场景

1. 远程办公：从家中访问办公室资源

在一台办公室机器（或专用Raspberry Pi/mini PC）上安装Tailscale，并将其配置为办公室局域网（如192.168.0.0/24）的子网路由器。运行Tailscale的远程员工可以直接访问内部资源——文件服务器、数据库、内部Web应用——而无需传统VPN网关。

2. 开发团队：安全访问暂存服务器

团队使用Tailscale将笔记本电脑连接到暂存服务器，而无需将这些服务器暴露给公共互联网。ACL确保开发人员只能访问其有权限的服务器和端口。

3. 家庭实验室：远程访问NAS和服务

在Raspberry Pi上安装Tailscale并设为子网路由器。从世界任何地方访问Synology NAS、Home Assistant、Plex、Proxmox或任何其他家庭服务，无需端口转发或DDNS设置。

4. 站点间VPN：连接多个云区域

将不同提供商和区域的VPS实例（例如泰国VPS和欧洲VPS）加入同一个tailnet。每个节点上的服务通过私有Tailscale IP通信，无需将节点间流量暴露给公共互联网。

5. Kubernetes和容器网络

Tailscale的官方Kubernetes operator将pod和服务集成到tailnet中。适用于混合本地和云集群的混合设置，或为开发人员提供对暂存集群服务的直接访问，而无需kubectl端口转发。