Tailscale玩法之内网穿透、异地组网、全隧道模式、纯IP的双栈DERP搭建、Headscale协调服务器搭建，用一期搞定，看一看不亏吧？

本视频是一期"一站式"Tailscale 教程，覆盖从入门到自建基础设施（DERP + Headscale）的完整链路。UP 主（韩风）明确提示：Tailscale 搭建过程中坑较多（结尾 20:10 再次强调），操作时不要遗漏细节。

设备入网两种方式：

1. 图形界面系统：点击客户端 "Log in"，Tailscale 调用系统浏览器访问官方协调服务器，登录第三方账号完成认证。
2. Linux：执行 tailscale up，复制返回的授权网址到任意浏览器访问登录。

跨设备授权技巧（01:14）：Linux 的授权链接方式同样适用于图形系统——把 iOS 跳转的授权网页发给其他地方的 Windows，用 Windows 浏览器完成授权，成功后 iOS 节点自动登录。

密钥过期（01:34）：默认密钥会过期需反复授权。在管理界面节点选项中启用"禁用密钥过期"即可一劳永逸。

虚拟 IP（01:56）：任一节点都能查看其他节点的虚拟 IP，便于互访。

拓扑（02:11）：外部节点 ×1；局域网一 = OpenWrt 主路由装 Tailscale；局域网二 = OpenWrt 旁路由装 Tailscale；局域网三 = NAS（群晖）装 Tailscale。目标是全部设备双向互访。

局域网一：OpenWrt 主路由（02:34 - 04:06）

1. 安装 iptables-nf（OpenWrt 20.3+ 必装）与 Tailscale 插件。
2. SSH 登录执行入网命令，--advertise-routes 填本网段，复制授权网址完成授权。
3. 管理界面三件事：改节点名（关自动命名）、禁用密钥过期、批准子网路由。
4. 添加网络接口：协议选"不匹配协议设备"、设备 tailscale0、分配自定义防火墙区域。
5. 防火墙编辑该区域：入站/出站"接受"，允许转发到 lan 区和 wan 区。保存后外部节点即可与局域网一互访。

局域网二：OpenWrt 旁路由（04:06 - 05:10）

1. 旁路由操作与局域网一相同，仅 --advertise-routes 换成本网段。
2. 确保旁路由 IP 伪装开启。
3. 在局域网二主路由配静态 IPv4 路由：目标 = Tailscale 虚拟网段、局域网一网段、局域网三网段，网关 = 旁路由 IP。
4. 逻辑：局域网二内设备的跨网访问全部交给旁路由（与 Zerotier 旁路由方案同理）。

局域网三：群晖 NAS + Docker（05:10 - 07:33）

1. 不用群晖套件，Docker 运行 Tailscale。SSH 登录 → 进入 root → 运行 Docker 命令。
2. docker run 参数：--advertise-routes=NAS 所在网段；--advertise-exit-node 不需要可删；Auth Key 在 Settings → Keys 生成并勾选 Reusable。
3. 容器出现虚拟 IP 即授权成功；管理界面开子网路由 + 禁用密钥过期。
4. 执行 iptables 规则开 IP 转发（-i 为 NAS 本地物理网卡）。
5. 局域网三主路由加静态路由（虚拟网 + 局域网一/二网段 → 网关指向 NAS）。
6. 坑点（07:00）：群晖重启 iptables 规则丢失 → 控制面板 → 计划任务 → 新增触发的任务（开机、root、用户自定义脚本），粘贴防火墙规则，首行加 sleep 延时命令（按 NAS 开机速度微调）。

1. 出口节点 B 开启 Exit Node 广播（对应第 3 章 Docker 参数 --advertise-exit-node）；
2. 管理界面批准 B 为出口节点；
3. 节点 A 在客户端选择 B 作为出口节点。 效果：A 的所有流量从 B 的网络出站，相当于 A "身处" B 的网络环境。

第一步：Go 编译环境（08:43 - 09:26） 更新软件源、装工具 → 官网下载最新版 Go → 按官方手册解压安装 → 加入环境变量 → 配置国内代理源。

第二步：编译"去域名化"derper（09:26 - 09:58）

1. go install 首次编译（产物弃用，只为拉源码）。
2. 进入源码 derper 目录，编辑证书相关 go 文件，注释三行（去除域名/证书强制校验），保存。
3. go build 编译输出到指定目录，确认 derp 可执行文件存在。

第三步：自签证书 + 服务化（09:58 - 10:41）

1. openssl 自签"瞎编域名"证书——域名不对外，仅让 DERP 能启动。
2. systemd 服务参数：HTTPS 端口 33445、HTTP 端口、STUN 端口 3478、-certmode=manual + 证书目录。
3. 安全组放行 33445、3478；enable + start。
4. 浏览器 https://IP:33445（证书告警→继续）看到页面即运行。

第四步：接入与验证（10:53 - 11:46） ACL 粘贴自定义 DERP 模板（其中一行表示借用官方其他中转），只改端口 + IPv4 两项 → Save → 客户端 netcheck 类命令确认连接 → 检查 DERP 状态无报错 → tailscale ping 显示"经由中转"即成功。

第五步：IPv6 双栈（11:46 - 14:16）

• 方案一（借官方）：ACL 插入官方 region 列表并全部禁用，仅留香港 id=20；IPv6 节点走香港官方 DERP。
• 方案二（推荐，自建双栈）：tunnelbroker（HE）创建隧道（需公网 IP + ICMP 放行 + 选香港）→ 生成配置时把公网 IP 换成私网 IP → 写入网络配置文件 → reboot → 验证 IPv6 → ACL 给自建 DERP 加 IPv6 地址 → 客户端 down/up 后 ping 验证 IPv6 直连。

第六步：防白嫖（14:16 - 14:57） 云服务器自身安装 Tailscale 并授权入网 → 编辑 DERP systemd 服务追加验证参数 → 保存 → daemon-reload → 重启。之后仅自己网络内的节点可用该 DERP。

适用判断（14:57）：免费版 100 客户端，家庭够用；仅当官方协调器连不上或有其他需求才自建。

安装与配置（15:34 - 16:29）

1. 按 Headscale 官方手册安装；下载地址替换为匹配云服务器架构的 Releases 版本；装完设开机自启。
2. 配置文件两处修改：
   • server_url = 公网IP:3355（客户端登录访问地址），防火墙放行端口；
   • 注释 IPv6 前缀（bug：同时分配 IPv6 时部分客户端只显示 IPv6）。

Nginx 反代 + UI（16:31 - 17:40）

1. 装 Nginx，配置反代（IP:3355 + UI 路径）。
2. 下载 headscale-ui，解压到指定目录。
3. 启动 Headscale、重启 Nginx。
4. 命令行创建 API 密钥 → 浏览器 IP:3355/web → Settings 粘贴密钥 → 检测通过（密钥=密码，换浏览器需重输）。
5. "用户"处新建用户。

客户端接入（17:43 - 18:40）

• macOS：退出官方账号 → 按住 Option 点 Tailscale 图标 → Debug → Log in → 替换登录服务器地址 → 登录。
• 授权：复制跳转页面命令 → UI 设备 → 添加设备 → 粘贴 → 选用户 → 确定。
• Windows/Android/iOS：见官方手册，操作同 macOS。
• Linux：tailscale up --login-server=<Headscale地址>，复制输出去 UI 授权。

接入自建 DERP（18:42 - 19:57） Headscale 自带 DERP 需域名 → 复用第 5 章纯 IP 自建 DERP：

1. 写自定义 DERP 配置文件（按 UP 主格式）；
2. Nginx 提供该文件下载；
3. Headscale 配置 DERP 地址指向该 URL，注释官方地址（注意对齐、无多余格式）；
4. 重启 Nginx 和 Headscale；
5. 排错：若无法连中转，是因为 DERP 开了防白嫖——把云服务器上的 Tailscale 客户端也加入 Headscale 网络即可。