我的 Tailscale 方案分享
上篇：[自建 NetBird 稳定吗？](https://www.v2ex.com/t/1150830)
前情回顾：WireGuard 不够方便，于是我自建了 NetBird 。
### WireGuard 的问题：
- 公钥得手动分发
- DDNS 支持不够好（只在建立连接时解析一次域名，后续 IP 更新感知不到）
NetBird 整体给我的感觉都不错（到现在也是），但是目前还是发现两个问题：
- 一个是 NetBird 的手机客户端好像没跟上版本，很古老
- 一个是自建 NetBird 中招了 Next.js 的漏洞，而自建 BUG 修复没有官方那么及时
因此，后续在跟 AI 迭代几轮后，我还是选择了 Tailscale 。
### 选 Tailscale 的原因：
- 我家网络状况还可以，至少从速度上看是打洞成功的
- 不想再自建服务器了，简单省钱
- 了解到了 Tailnet Lock 的存在
以下是我家设备网络的物理拓扑图。
左边是我目前工作地方租的房，右边是老家（放 NAS ）的地方。我其实需求就是想在工作的地方访问老家的 NAS ，也可以 RDP 到我的二奶机。在外的话，手机和笔记本也能访问家里的局域网。同时我还想尽量少装客户端。
多的我就不说了，直接放图（做完以后就是这样的）：
### 干货内容：
1. 我使用了 Tailscale 官方的 [Tailnet Lock](https://tailscale.com/docs/features/tailnet-lock) 功能。简单说就是这个在很大程度上避免了（万一） Tailscale 官方恶意地将节点插入到我们的网络里。
- 仍然存在 **TOFU（Trust On First Use）** 问题。
- Tailscale 官方的客户端是部分开源。
2. 我的两台 Windows Server 是签名节点，同时也负责流量的转发。这个有几个细节要讲：
- 需要在路由器里加静态路由，也就是对面的网络和中间的 `100.64.0.0/10` 加进去，这样 PC1 、PC2 的流量就会先交给路由器，然后交给 Windows Server ，然后再转发
- 由于 Windows 的限制，不能用 ping 检测连通性，但是 Tcping 可以
- 我的 Windows Server 采用的是 NAT 方案（另一个不能 ping 的原因）
3. 需要注意，默认情况下有 Key Expiry，这个一定要在控制台关掉：设置成不过期
4. 控制台里 subnet route 要手动 approve
5. [这个跟网络无关] 群晖 NAS 默认是开启硬盘休眠的，要关掉。要不然有时候 smb 访问的时候就突然卡一会儿。
### 最终效果：
我这里是嘉兴和杭州，都是中国电信，从速度看打洞是成功的，延迟很低，带宽的话基本就是出口上限（40~50Mbps）。
---
原文链接：[点击查看](https://www.v2ex.com/t/1230557)
前情回顾：WireGuard 不够方便，于是我自建了 NetBird 。
### WireGuard 的问题：
- 公钥得手动分发
- DDNS 支持不够好（只在建立连接时解析一次域名，后续 IP 更新感知不到）
NetBird 整体给我的感觉都不错（到现在也是），但是目前还是发现两个问题：
- 一个是 NetBird 的手机客户端好像没跟上版本，很古老
- 一个是自建 NetBird 中招了 Next.js 的漏洞，而自建 BUG 修复没有官方那么及时
因此，后续在跟 AI 迭代几轮后，我还是选择了 Tailscale 。
### 选 Tailscale 的原因：
- 我家网络状况还可以，至少从速度上看是打洞成功的
- 不想再自建服务器了，简单省钱
- 了解到了 Tailnet Lock 的存在
以下是我家设备网络的物理拓扑图。
左边是我目前工作地方租的房，右边是老家（放 NAS ）的地方。我其实需求就是想在工作的地方访问老家的 NAS ，也可以 RDP 到我的二奶机。在外的话，手机和笔记本也能访问家里的局域网。同时我还想尽量少装客户端。
多的我就不说了，直接放图（做完以后就是这样的）：
### 干货内容：
1. 我使用了 Tailscale 官方的 [Tailnet Lock](https://tailscale.com/docs/features/tailnet-lock) 功能。简单说就是这个在很大程度上避免了（万一） Tailscale 官方恶意地将节点插入到我们的网络里。
- 仍然存在 **TOFU（Trust On First Use）** 问题。
- Tailscale 官方的客户端是部分开源。
2. 我的两台 Windows Server 是签名节点，同时也负责流量的转发。这个有几个细节要讲：
- 需要在路由器里加静态路由，也就是对面的网络和中间的 `100.64.0.0/10` 加进去，这样 PC1 、PC2 的流量就会先交给路由器，然后交给 Windows Server ，然后再转发
- 由于 Windows 的限制，不能用 ping 检测连通性，但是 Tcping 可以
- 我的 Windows Server 采用的是 NAT 方案（另一个不能 ping 的原因）
3. 需要注意，默认情况下有 Key Expiry，这个一定要在控制台关掉：设置成不过期
4. 控制台里 subnet route 要手动 approve
5. [这个跟网络无关] 群晖 NAS 默认是开启硬盘休眠的，要关掉。要不然有时候 smb 访问的时候就突然卡一会儿。
### 最终效果：
我这里是嘉兴和杭州，都是中国电信，从速度看打洞是成功的，延迟很低，带宽的话基本就是出口上限（40~50Mbps）。
---
原文链接：[点击查看](https://www.v2ex.com/t/1230557)
评论
暂无评论。