https://www.e7coding.com/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%BB%84%E7%BD%91/Recent content in 零信任组网 on E7CodingHugozh-cnJoyJoyTue, 16 Jun 2026 10:00:00 +0800https://www.e7coding.com/posts/tailscale-intro/Tue, 16 Jun 2026 10:00:00 +0800Joyhttps://www.e7coding.com/posts/tailscale-intro/<blockquote> <p>这是我「Tailscale 折腾系列」的第一篇。后面会一篇篇动手搭自建控制面、配 Web 界面、自建国内中继——但在敲命令之前，先用一篇把<strong>原理</strong>讲透。搞懂它怎么工作，后面折腾时遇到问题才知道是哪一环出了岔子，而不是照着命令瞎抄。</p> </blockquote> <h2 id="先说痛点我们到底想解决什么">先说痛点：我们到底想解决什么</h2> <p>场景很常见：人在外面，想连家里的 NAS、回公司内网、用一台云服务器中转流量。传统方案各有各的难受：</p> <ul> <li><strong>端口转发 / DDNS</strong>：要有公网 IP，还把服务直接暴露在公网上，不安全。</li> <li><strong>frp / 反向代理</strong>：能穿透，但每加一个服务就要配一条规则，运维琐碎。</li> <li><strong>传统 VPN（OpenVPN/IPsec）</strong>：中心化网关，配置重，所有流量绕一圈，慢。</li> </ul> <p>它们的共同问题是：<strong>要么依赖公网 IP，要么流量被迫绕中心节点，要么配置繁琐</strong>。</p> <p>Tailscale 的思路完全不同：让你所有设备<strong>登录同一个账号就自动组成一张虚拟局域网</strong>，设备之间<strong>点对点直连</strong>，像插在同一台交换机上一样——不需要公网 IP，不用挨个配端口。</p> <h2 id="核心原理控制面与数据面分离">核心原理：控制面与数据面分离</h2> <p>Tailscale 基于 <strong>WireGuard</strong>（现代、快、内核级的 VPN 协议）。它真正聪明的地方，是把网络拆成了<strong>两个面</strong>：</p> <ul> <li><strong>控制面（Control Plane）</strong>：协调中心。负责设备认证、分发各设备的公钥、下发访问策略（ACL）。它<strong>只协调、不碰你的数据</strong>。</li> <li><strong>数据面（Data Plane）</strong>：设备之间用 WireGuard <strong>直接点对点加密通信</strong>，数据不经过任何中心服务器。</li> </ul> <pre class="mermaid"> flowchart TD C["控制面 / Control Plane<br/>认证 · 分发公钥 · 下发 ACL"] A["设备 A<br/>手机"] B["设备 B<br/>家里 NAS"] D["设备 C<br/>公司电脑"] C -. "只协调，不碰数据" .-> A C -. "只协调，不碰数据" .-> B C -. "只协调，不碰数据" .-> D A == "WireGuard P2P 直连" === B A == "WireGuard P2P 直连" === D B == "WireGuard P2P 直连" === D style C fill:#dbe9ff,stroke:#2563eb,stroke-width:2px </pre> <p>控制面帮设备们「互相认识」，之后它们就甩开控制面自己直连了。这也是为什么 Tailscale 又快又安全——<strong>流量从不经过中间服务器</strong>。</p>