Tailscale 是什么：一篇看懂这套 P2P 内网穿透神器（折腾系列·序章）

这是我「Tailscale 折腾系列」的第一篇。后面会一篇篇动手搭自建控制面、配 Web 界面、自建国内中继——但在敲命令之前，先用一篇把原理讲透。搞懂它怎么工作，后面折腾时遇到问题才知道是哪一环出了岔子，而不是照着命令瞎抄。

先说痛点：我们到底想解决什么

场景很常见：人在外面，想连家里的 NAS、回公司内网、用一台云服务器中转流量。传统方案各有各的难受：

• 端口转发 / DDNS：要有公网 IP，还把服务直接暴露在公网上，不安全。
• frp / 反向代理：能穿透，但每加一个服务就要配一条规则，运维琐碎。
• 传统 VPN（OpenVPN/IPsec）：中心化网关，配置重，所有流量绕一圈，慢。

它们的共同问题是：要么依赖公网 IP，要么流量被迫绕中心节点，要么配置繁琐。

Tailscale 的思路完全不同：让你所有设备登录同一个账号就自动组成一张虚拟局域网，设备之间点对点直连，像插在同一台交换机上一样——不需要公网 IP，不用挨个配端口。

核心原理：控制面与数据面分离

Tailscale 基于 WireGuard（现代、快、内核级的 VPN 协议）。它真正聪明的地方，是把网络拆成了两个面：

• 控制面（Control Plane）：协调中心。负责设备认证、分发各设备的公钥、下发访问策略（ACL）。它只协调、不碰你的数据。
• 数据面（Data Plane）：设备之间用 WireGuard 直接点对点加密通信，数据不经过任何中心服务器。

控制面帮设备们「互相认识」，之后它们就甩开控制面自己直连了。这也是为什么 Tailscale 又快又安全——流量从不经过中间服务器。

那打洞失败怎么办？DERP 兜底

P2P 直连需要 NAT 穿透（打洞），但有些网络环境（对称型 NAT、运营商大内网）打不通。这时流量会退而走 DERP 中继——一个公网上的加密转发节点。

关键：DERP 只在直连失败时兜底，直连成功它就不参与。官方 DERP 节点遍布全球，但对国内用户来说延迟偏高，这也是后面我会自建一台国内 DERP 的原因。

Tailscale 官方 vs 自建 Headscale

用 Tailscale，那个「控制面」默认是 Tailscale 公司托管的。对很多人够用，但有几个理由让我想自己掌控：

	Tailscale 官方	自建 Headscale
控制面	Tailscale 公司托管	自己服务器上跑
数据隐私	协调元数据在对方手里	全在自己手里
设备数	免费版有上限	自己说了算
折腾乐趣	开箱即用	拉满 😎

Headscale 就是 Tailscale 控制面的开源自建实现。客户端还是用官方的 Tailscale App，只是把「登录服务器」指向你自己的 Headscale。本系列后面全部基于 自建 Headscale 展开。

几个会反复出现的概念

后面几篇会频繁用到这些词，先混个脸熟：

• Tailnet：你的整张虚拟局域网。
• 控制面 / 数据面：协调 vs 实际通信，见上。
• WireGuard：底层加密隧道协议，P2P 直连靠它。
• DERP：直连失败时的加密中继兜底。
• MagicDNS：给每台设备自动分配好记的域名，不用背 IP。
• ACL：访问控制策略，谁能访问谁。
• Subnet Router：让某台设备把它所在的整个内网桥接进 Tailnet。
• Exit Node：把某台设备当出口，所有流量从它出去（类似全局代理）。

这个系列接下来折腾啥

序章到此，原理铺垫完了。接下来是动手环节，建议按顺序读：

1. 下一篇 →《给 Headscale 配个 Web 界面：headscale-ui 安装折腾记》 Headscale 原生只有命令行，先给它配个 Web 界面，后面加节点、批设备、配路由都能点鼠标，省得一直 SSH。

2. 再下一篇 →《自建 DERP 中继：让 Headscale 打洞失败也能稳连国内 20ms》 把兜底中继也搬到国内，延迟从境外的 100ms+ 压到 20ms 级，含改源码、自签证书、防白嫖三处踩坑。

3. 收尾 →《把设备接进自建 Headscale：从 tailscale up 登录到 headscale-ui 管理》 日常最常做的一环：客户端 tailscale up --login-server 登录、批准入网、在 Web 界面里管设备，配模拟截图走一遍。

整个系列的目标：一套完全自己掌控、国内体验拉满的私有组网。跟着折腾完，你也能拥有一张「走到哪都像在自家局域网」的网络。下一篇见 👇