使用 Tailscale 让 NAS、手机与笔记本实现安全异地组网

开启 MagicDNS#

MagicDNS 可以让设备通过名称互相访问，不必记住每台设备的 100.x.x.x 地址。

推荐使用清晰的角色化设备名称：

1
nas          # 或 unraid / truenas
2
desktop      # 常开电脑，例如 mac-mini
3
laptop       # 笔记本，例如 macbook
4
phone        # 手机，例如 iphone

本文后续示例沿用更具体的名称：

1
unraid
2
mac-mini
3
macbook
4
iphone

完整 MagicDNS 名称通常采用以下格式：

1
<设备名>.<tailnet-name>.ts.net

同一 Tailnet 内的原生 Tailscale 客户端通常可以使用短名称。手机上的代理内置 Tailscale，以及跨 Tailnet 分享场景，优先使用完整域名：

1
unraid.example-tailnet.ts.net

保护登录账户#

Tailscale 的安全边界依赖登录账户和设备授权。建议为用于登录 Tailscale 的 Apple、Google、Microsoft 或 GitHub 账户开启双重验证。

还应定期检查管理后台中的设备，删除已经出售、重装或不再使用的节点。

谨慎设置设备名称#

避免使用姓名、家庭地址或公司名称作为设备名。

如果为设备启用 Tailscale HTTPS 证书，机器名称可能出现在公开证书日志中，因此应使用自己愿意公开的名称。

安装官方插件#

打开 Unraid WebGUI，依次进入：

1
Apps
2
→ 搜索 Tailscale
3
→ 选择 Tailscale (Plugin)
4
→ Install

不要选择旧版 Docker 模板。

安装后进入：

1
Settings
2
→ Network Services
3
→ Tailscale

选择：

1
Reauthenticate
2
→ Connect

登录与其他设备相同的 Tailscale 账户。

检查设备状态#

进入 Tailscale 管理后台的设备页面，应该可以看到 NAS 节点：

1
unraid
2
100.101.102.103
3
Connected

如果 Tailnet 开启了设备审批，还需要手动批准该节点。

然后从另一台已经加入 Tailnet 的设备测试访问：

1
http://100.101.102.103

或者：

1
https://unraid.example-tailnet.ts.net

实际协议和端口取决于 NAS 的管理访问设置。

判断是否需要子网路由#

单纯访问以下内容时，通常不需要配置子网路由：

• NAS WebGUI。
• NAS 宿主机上的 SMB 共享。
• 已映射到 NAS 宿主机端口的 Docker 服务。

直接使用 NAS 的 Tailscale IP 或 MagicDNS 名称即可。

只有以下场景需要子网路由：

• Docker 容器使用独立的 br0 局域网 IP。
• 需要访问家庭局域网中的打印机、摄像头或其他设备。
• 希望继续使用设备原来的 192.168.x.x 地址。

假设家庭网络是：

1
192.168.1.0/24

在 Unraid 上可以进入：

1
Settings
2
→ Tailscale
3
→ Advertise Routes

根据需求广播：

1
192.168.1.50/32   只开放单台设备
2
192.168.1.0/24    开放整个家庭网段

保存后，还需要在 Tailscale 管理后台批准该路由。

最小开放范围

只需要访问一台容器或局域网设备时，优先广播 /32。没有访问整个家庭网络的需求时，不要直接开放整个 /24 网段。

Unraid 7 容器集成#

Unraid 7 可以让部分 Docker 容器直接加入 Tailnet，每个容器拥有独立身份、主机名和 Tailscale 地址。

这种方式适合：

• 只共享某个容器，而不是整个 NAS。
• 为不同容器配置独立 Grants。
• 让容器独立使用 HTTPS、Serve 或其他 Tailscale 功能。

如果服务已经映射到 NAS 宿主机端口，通常不需要让容器单独加入 Tailnet。

容器网络模式存在兼容性限制，不应在关键容器上直接试验。尤其不要把旧 Tailscale Docker 模板与 Unraid 7 的官方容器集成混为一谈。配置前应查看当前 Unraid 版本的发行说明，并先在非关键容器上测试。

与其他 VPN 或代理共存#

桌面端和笔记本 不需要 为了访问 NAS 再配置代理客户端内置 Tailscale。官方客户端默认只把 Tailscale 地址段（以及你批准的子网路由）交给 Tailscale，其余互联网流量仍可交给系统默认路由、系统代理，或其他 VPN。

按 Tailscale 官方 FAQ：

• 理论上可以和其他 VPN 同时使用，因为默认只路由一小部分流量（Tailscale IP）。
• 实际能否共存，取决于另一款 VPN 是否设置了激进防火墙、是否占用 100.64.0.0/10，以及平台是否允许多个 VPN。
• iOS / Android 系统层只允许一个活动 VPN；桌面操作系统通常没有这条硬限制。

因此：

1
常开电脑 / 笔记本
2
→ 官方 Tailscale：保持连接
3
→ 其他代理或 VPN：可按需同时开启
4

5
手机（以 iPhone 为例）
6
→ 不能可靠地同时开官方 Tailscale App 与代理 App
7
→ 改用代理客户端内置 Tailscale（本文以 Surge 举例）

关于 TUN：需要开，但不是“再开一个开关”#

以 macOS 为例，Tailscale 官方客户端默认使用内核网络栈：创建 utun 这类虚拟网卡接口，把 100.x.x.x 等 Tailscale 路由写进系统路由表。这是官方客户端的正常工作方式，安装并连接后就会使用，不是用户还要额外手动“开启 TUN 才能和其他 VPN 共存”。

容易混淆的是 Linux / 容器文档里的：

1
tailscaled --tun=userspace-networking

这是 userspace networking：在没有 /dev/net/tun 的容器或受限环境里，不创建 TUN 网卡，改用 SOCKS5 / HTTP 代理访问 Tailnet。它是兼容模式，不是桌面端推荐配置，也不是“关掉 TUN 才能和 VPN 共存”的开关。

本文的电脑端方案应保持官方默认 TUN / 内核网络模式。只要另一款 VPN：

• 不会用激进防火墙丢掉非自身隧道流量；
• 不占用 100.64.0.0/10（以及 Tailscale IPv6 fd7a:115c:a1e0::/48）；
• 支持把 Tailscale 网段留在 split tunnel 之外；

就通常可以与官方 Tailscale 同时开启。若对方 VPN 强制全局接管、或与 CGNAT 地址冲突，再考虑对方侧的分流排除、或查阅官方的 userspace / split tunnel 变通方案。

不要为了共存去改成 userspace

电脑端访问 SMB、SSH、远程桌面时，应使用默认内核网络模式。userspace 模式主要面向无 TUN 的容器场景，普通 ping 等工具行为也会不同。

以 Surge iOS 为例#

使用 Surge iOS 5.20.0 或更高版本，为这台手机创建独立 Auth Key，然后加入类似配置：

1
[Proxy]
2
Home Tailnet = tailscale, section-name=home-tailnet
3

4
[Tailscale home-tailnet]
5
auth-key = tskey-auth-在这里填写手机专用密钥
6
hostname = surge-iphone
7

8
[Rule]
9
DOMAIN-SUFFIX,example-tailnet.ts.net,Home Tailnet
10
IP-CIDR,100.64.0.0/10,Home Tailnet,no-resolve

此时只需要开启代理客户端：

1
普通互联网流量   → 原有代理规则
2
NAS 和 Tailnet   → 内置 Tailscale

内置策略支持规则选中的 TCP 和 UDP 出站流量，可以访问 Tailnet 节点、MagicDNS 名称以及经过批准的子网路由。

不需要再同时开启官方 Tailscale App。

其他手机代理客户端#

1
Surge iOS：已支持内置 Tailscale
2
Loon：已计划支持 Tailscale，等待正式版发布
3
Android：优先确认代理 App 是否支持原生 Tailscale；否则只能在“代理”和“官方 Tailscale”之间二选一

Loon 当前支持 WireGuard，但这不等同于已经原生支持 Tailscale。在正式功能发布前，它仍无法完整替代本文中的单隧道代理与 Tailnet 分流。

来源不明的修改版客户端、描述文件或包含 Auth Key 的第三方模块会扩大凭据泄露风险，应避免使用。

以 macOS Finder 为例#

在 Mac 上打开：

1
访达
2
→ 前往
3
→ 连接服务器

也可以直接按：

1
Command + K

输入 Tailscale IP 和共享名称：

1
smb://100.101.102.103/Media

或者使用完整 MagicDNS 地址：

1
smb://unraid.example-tailnet.ts.net/Media

macOS 官方支持以下格式：

1
smb://DNS名称/共享名称
2
smb://IP地址/共享名称

如果不填写共享目录：

1
smb://unraid.example-tailnet.ts.net

登录后可以再选择需要挂载的共享。

连接成功后，可以把共享目录拖到 Finder 边栏。需要登录时自动挂载，可以将已经挂载的 SMB 宗卷加入：

1
系统设置
2
→ 通用
3
→ 登录项

Windows 可通过“映射网络驱动器”连接 \\100.101.102.103\Media 或对应 MagicDNS 名称；Linux 可用文件管理器或 mount.cifs。地址都指向 NAS 的 Tailscale IP 或 MagicDNS 名称即可。

跨地区网络延迟较高时，SMB 打开大量小文件会明显慢于本地局域网；大文件连续传输通常更加稳定。

容器使用独立局域网 IP#

假设容器地址是：

1
192.168.1.50

可以选择两种方法。

1
192.168.1.50/32

1
192.168.1.0/24

删除公网端口映射#

使用 Tailscale 后，通常不应继续把以下端口映射到公网：

1
445    SMB
2
22     SSH
3
3389   RDP
4
80     HTTP
5
443    HTTPS
6
NAS 管理后台端口
7
Docker 管理端口

Tailscale 本身不要求将这些业务端口开放到公网。

区分 Serve 与 Funnel#

Tailscale Serve 只向 Tailnet 内经过授权的设备和用户提供服务；Funnel 会将服务发布到整个互联网。

Funnel 不适合 SMB，也不应默认用于 NAS WebGUI 和私人 Docker 服务。

可以使用：

1
Tailscale 设备地址
2
MagicDNS
3
Tailscale Serve

除非明确知道自己正在公开什么，否则不要使用：

1
Tailscale Funnel
2
公网端口映射
3
公开反向代理

每台设备使用独立 Auth Key#

不要让手机上的代理内置节点、电脑官方客户端节点和其他设备共用同一个可重复使用密钥。

推荐：

1
phone / surge-iphone：独立一次性密钥（仅手机代理内置 Tailscale）
2
desktop / laptop：优先交互式登录官方客户端；自动化场景再用独立密钥
3
自动化容器：独立密钥、标签或 OAuth

Auth Key 优先使用短有效期、一次性、预授权并限制权限的配置。不要把密钥留在公开配置、Shell 历史或截图中。

定期清理设备#

定期检查 Tailscale 管理后台，删除：

• 已出售的手机。
• 已重装的旧系统。
• 不再使用的临时节点。
• 名称相似但无法确认来源的设备。
• 已失效的代理临时节点。

保留 SMB 独立认证#

即使 SMB 只能通过 Tailnet 访问，也应该：

• 关闭访客访问。
• 使用独立 NAS 用户。
• 设置强密码。
• 不让普通用户拥有不必要的写入权限。
• 将备份和重要资料设置为只读或分开管理。

Tailscale 负责网络层身份和加密，但不会替代 SMB 自身的用户名、密码和文件权限。

使用 Grants 限制端口#

新建 Tailnet 的默认策略可能允许成员设备广泛互访。Tailscale 当前推荐使用 Grants 实施最小权限控制。

例如，将 NAS 定义为固定主机后，只允许成员访问 SMB、HTTP 和 HTTPS：

1
{
2
  "hosts": {
3
    "unraid": "100.101.102.103"
4
  },
5
  "grants": [
6
    {
7
      "src": ["autogroup:member"],
8
      "dst": ["unraid"],
9
      "ip": [
10
        "tcp:445",
11
        "tcp:80",
12
        "tcp:443"
13
      ]
14
    }
15
  ]
16
}

有 Docker 服务时，再添加实际需要的端口：

1
"tcp:8080",
2
"tcp:8123",
3
"tcp:32400"

Grants 中：

• src 定义访问来源。
• dst 定义目标设备、标签或地址。
• ip 限制协议和端口。

修改访问策略前应保存原配置并逐步测试。多条 Grants 的权限会合并，更具体的规则不会自动覆盖之前过宽的授权。只保留示例规则也可能导致其他设备间连接被拒绝，需要根据实际用途补充。

测试 NAS WebGUI#

使用浏览器打开：

1
http://100.101.102.103

或者：

1
https://unraid.example-tailnet.ts.net

测试 SMB 端口#

在使用原生 Tailscale 客户端的电脑上运行：

1
nc -vz 100.101.102.103 445

成功时一般会显示：

1
succeeded

测试 Tailscale 路径#

使用原生 Tailscale 客户端时：

1
tailscale ping unraid

如果显示：

1
direct

说明设备之间建立了点对点直连。

如果显示 DERP 或 relay，连接仍然经过加密，只是使用 Tailscale 中继，速度和延迟可能不如直连。

手机代理内置 Tailscale 可以在策略状态中查看当前节点、地址以及连接是 direct 还是 relay。DERP 是正常的备用连接状态，并不代表连接失败。

代理客户端中看不到请求#

检查以下规则是否位于其他可能提前匹配的规则之前：

1
DOMAIN-SUFFIX,example-tailnet.ts.net,Home Tailnet
2
IP-CIDR,100.64.0.0/10,Home Tailnet,no-resolve

同时确认使用的是完整 MagicDNS 地址：

1
unraid.example-tailnet.ts.net

如果访问的是家庭子网路由或 Tailscale IPv6 地址，还需要增加实际地址范围的规则。

Web 服务可用但 SMB 不通#

依次检查：

• NAS SMB 服务是否开启。
• 共享目录是否允许当前用户访问。
• TCP 445 是否被 Grants 或防火墙拦截。
• SMB 地址和共享名称是否填写正确。
• 手机代理请求是否命中 Home Tailnet。
• 是否错误地将 SMB 流量发送到普通代理节点。
• NAS 服务是否只监听某个局域网接口。

Docker 服务无法访问#

如果服务使用 NAS 宿主机端口，应访问：

1
NAS 的 Tailscale IP:端口

如果容器拥有独立的 192.168.x.x 地址，则需要：

• 配置并批准子网路由。
• 或让容器单独加入 Tailnet。