2026 Tailscale 零成本组网：异地访问自部署服务的终极方案

家里自建了一堆服务：Immich 存照片、Jellyfin 看剧、FreshRSS 刷资讯、还有 NAS 共享文件和备份。在家用着挺舒服，可一旦出门上班、出差或者回老家，这些服务就全部失联了。想在外面的手机上刷刷家里 Jellyfin 上的电影，或者把刚拍的照片自动备份到家里的 Immich——做不到。

传统解决方案无非三条路：要么花钱找运营商要公网 IP 再配端口映射，要么用 frp 做内网穿透，要么用 Cloudflare Tunnel。第一条得跟运营商扯皮还可能有额外的月费，后面两条配置都不简单，而且流量经过中转服务器中转，速度大打折扣。用 frp 看 Jellyfin 基本是一种折磨——延迟高，还经常缓冲。

Tailscale 给出了一个完全不同的思路：基于 WireGuard 协议组建虚拟局域网。所有设备装上 Tailscale 客户端，登录同一个账号，系统自动分配 100.x.x.x 段的私网 IP，设备之间直接点对点加密通信，流量不经过第三方。部署完一次，就等于把所有装了客户端的设备拉到了同一个虚拟局域网里。

一、Tailscale 和其他方案对比#

方案	原理	需要公网 IP	配置难度	速度	费用
Tailscale	WireGuard 虚拟组网	不需要	⭐ 低	直连速度 = 上行带宽	个人免费
frp	服务器中转	需要一台公网服务器	⭐⭐⭐ 中高	受限于中转服务器	服务器月费
Cloudflare Tunnel	CF 边缘网络	不需要	⭐⭐ 中	受限于 CF 节点	免费
公网 IP + 端口转发	直接暴露	需要	⭐⭐ 中	最快	运营商月费

Tailscale 在配置简单程度和速度之间取得了最好的平衡。个人用户免费版最多支持 100 台设备、3 个用户，对家庭使用来说完全够用。

二、安装客户端#

Linux 服务器一条命令搞定——不管是 Debian、Ubuntu 还是 CentOS 都能用：

1
curl -fsSL https://tailscale.com/install.sh | sh

装好之后启动加入网络：

1
sudo tailscale up

执行后终端会输出一个链接，复制到浏览器打开，用 Google 账号、GitHub 账号或者微软账号登录。登录成功后终端会提示”Connected.”，同时设备自动加入你的 Tailscale 网络。在管理后台 https://login.tailscale.com 能看到这台设备的状态和分配到的 100.x.x.x IP。

验证连通性很简单——在另一台装了 Tailscale 的设备上 ping 这个地址：

1
ping 100.x.x.x
2
# 能通就说明组网成功了

其他平台的安装方式：

平台	安装方式
Windows	官网下载安装包，图形界面安装
macOS	Mac App Store 或官网下载
iOS	App Store 搜索 Tailscale
Android	F-Droid 或 Google Play 安装

所有设备登录同一个账号后，几秒内自动完成组网。你会在管理后台看到所有在线设备及其虚拟 IP。

三、Docker 里跑 Tailscale#

如果你所有服务都在 Docker 里，也可以在容器里安装 Tailscale：

1
services:
2
  tailscale:
3
    image: tailscale/tailscale:latest
4
    container_name: tailscale
5
    restart: unless-stopped
6
    environment:
7
      TS_STATE_DIR: /var/lib/tailscale
8
    volumes:
9
      - ./tailscale/state:/var/lib/tailscale
10
      - /dev/net/tun:/dev/net/tun
11
    cap_add:
12
      - net_admin
13
      - sys_module

/dev/net/tun 是创建虚拟网卡必需的设备文件，NET_ADMIN 和 SYS_MODULE 这两个权限是 Tailscale 运行必需的。缺了任何一个容器都跑不起来。

容器启动后用 docker exec tailscale tailscale up 登录，和直接在 Linux 上装的步骤一样。

四、子网路由：打通全屋设备#

Tailscale 默认只让装了客户端的设备之间互通。但家里的智能灯泡、路由器管理页面、打印机、NAS 共享文件夹——这些设备不能装 Tailscale。想让手机在外面也能访问它们，需要开启子网路由功能。

在装了 Tailscale 的 Linux 服务器上执行：

1
sudo tailscale up --advertise-routes=192.168.1.0/24

把 192.168.1.0/24 替换成你家里局域网的实际网段。不确定的话，在电脑上执行 ip a（Linux/macOS）或 ipconfig（Windows）查看——找到 192.168.x.x 的地址，它的前三个数字就是你的网段。

执行完命令后，去 Tailscale 管理后台的后台 → 找到这台服务器 → 点三个点 → 左侧 Edit route settings → 把显示的网段勾选批准。

从这一刻开始，你手机在任何有网络的的地方，只要连上了 Tailscale，就可以直接使用 192.168.1.x 的局域网地址访问家里的任何设备——访问路由器后台 192.168.1.1 查看设备状态，访问打印机 IP 直接打印文件，连 NAS 的 SMB 共享文件夹备份照片，全都跟在局域网里一样。

五、安全改造 Docker 服务#

有了 Tailscale 之后，所有 Docker 服务可以不再暴露在公网上。

把 Docker Compose 里的端口映射从：

1
ports:
2
  - "2283:2283"  # Immich 暴露到公网

改成：

1
ports:
2
  - "127.0.0.1:2283:2283"  # 只监听本地

加了 127.0.0.1: 前缀之后，这个服务只监听本机地址，公网无法直接访问了。但通过 Tailscale 网络，你可以直接使用这台服务器的 100.x.x.x 虚拟 IP 加端口号访问它。

客户端一侧的操作也很简单：打开 Immich 手机 App，在设置里把服务器地址从公网域名改成 Tailscale 虚拟 IP 加端口号——比如 http://100.x.x.x:2283。流量走点对点直连，速度基本等于家里宽带的实际上行带宽。

在办公室用 4G 网络看家里的 Jellyfin 电影，只要家里的上行带宽够用，跟在局域网里刷差别不大。

六、速度与稳定性#

Tailscale 的通信策略很聪明：优先尝试点对点直连。如果两台设备在同一个局域网内，速度就是局域网速度（千兆甚至更高）。在不同网络下（比如家里和办公室），Tailscale 会尝试通过 NAT 穿透建立直接的 UDP 加密通道，流量不经过任何第三方服务器。

直连失败的情况下，流量才会通过 DERP 中继服务器转发。Tailscale 在全球部署了多个 DERP 节点，国内用户通常连接到日本的节点。不过 DERP 主要是 TCP 流量中转，速度比直连慢不少。

好消息是绝大多数网络环境下直连都能成功。如果发现连接总是走中继，可以用管理后台的连接路径查看功能排查——看看是哪一方的 NAT 限制太严格导致的。

七、实际使用场景#

Tailscale 装好之后到底能做什么？说几个我最常碰到的场景。

在外面看家里的 Jellyfin。 出差住酒店，手机连上 Tailscale，打开 Jellyfin App 直接看家里的电影库。缓冲时间和在家看差不多——因为流量是点对点直连的，不走什么云中转。配合 PVE 一起用的话，Jellyfin 虚拟机也不需要暴露任何端口到公网。

在家里远程 SSH 到服务器。 不需要开端口转发，不需要用密码登录——Tailscale 网络内直接用虚拟 IP 加 SSH 密钥连接，安全又省心。而且 Tailscale 的 SSH 功能还支持基于 GitHub 账号的身份认证，连密钥都不用配。

手机自动备份照片到家里的 Immich。 Immich 的 App 设置里填上 Tailscale 虚拟 IP，在办公室拍的照片自动通过 Tailscale 加密通道传到家里的服务器。不用担心数据到别人的服务器绕一圈。

帮朋友调试他家的路由器。 让他装个 Tailscale 然后给我共享访问权限，他的子网路由配好之后我就能在他家的局域网里直接访问路由器管理页面。不用让他截图发微信然后一步步口述操作了。

在外面连回办公室的打印机。 手机连上 Tailscale，通过家里局域网 IP 直接打印文件到办公室打印机——不过要注意大部分打印机不支持 AirPrint 直接远程打印，可以用 PrintHandler 之类的工具中转一下。

这些场景的共同点：不需要公网 IP、不需要配端口转发、不需要折腾 HTTPS 证书。装好 Tailscale，所有远程访问问题一次性解决。

八、常见问题#

Q：连接一直走中继，速度很慢怎么办？ Tailscale 对某些运营商（比如移动宽带）的 NAT 类型穿透不了，会回退到 DERP 中继。你可以先在管理后台查看连接路径，确认是直连还是中继。如果是中继，在两台设备上都开启 --accept-routes 和 --accept-dns=false 参数试试——有时能改善 NAT 穿透率。如果两台设备都在同一个运营商网络下（比如都是电信），直连成功率会高很多。

Q：个人免费版够用吗？ 完全够。免费版最多 100 台设备、3 个用户。对家庭使用来说绰绰有余——你家应该没有 100 台设备需要访问。高级版加的功能（多用户权限控制、自定义 DERP 服务器）家庭场景基本用不上，免费版已经很良心了。

Q：家里设备断电后重新联网，Tailscale 会自动重连吗？ 会。Tailscale 客户端默认配置了自动重连和开机自启。设备恢复供电和网络后，它会自动重新上线，不需要你手动操作。不过如果家里的路由器重启了，要等路由器完全就绪后 Tailscale 才会重新连接——大概一两分钟。

Q：家里设备断电后重新联网，Tailscale 会自动重连吗？ 会。Tailscale 客户端默认设置了自动重连和开机自启。断电后网络恢复，设备会自动重新上线。

Q：Tailscale 安全吗？会不会有隐私问题？ 传输层基于 WireGuard——业界公认最安全的 VPN 协议之一，审计报告公开可查。认证层用 OAuth 2.0（Google / GitHub / Microsoft 账号登录），你不需要再记忆一套密码。所有流量都是端到端加密的，Tailscale 公司也解密不了你的通信内容。比 frp 那种把明文流量转发到公网服务器的方案安全一个数量级。

延伸阅读#

Docker 换源避坑指南 — 部署前的必备准备
Nginx Proxy Manager 反代面板 — 统一管理所有服务的访问入口
自建 RSS 信息流 — 彻底告别算法推荐

Tailscale 是目前最省心的远程网络访问方案。不需要公网 IP，不需要配置端口转发，不需要折腾 HTTPS 证书。花十分钟部署一次，家里所有设备永久受益——出门在外打开手机上的 Tailscale，所有服务就在那里，跟在局域网里没有任何区别。需要把某些服务暴露给更多人（比如朋友或同事）时，可以搭配 Nginx Proxy Manager 用域名+HTTPS 访问，参考NPM 部署指南。和 PVE 配合使用效果尤其好（参考PVE 教程）——PVE 管理页面和虚拟机网络都能通过 Tailscale 在外面访问，不需要暴露管理端口。

推荐指数：⭐⭐⭐⭐⭐

音乐

广告