Tailscale 与轻连 derp 使用手册

Tailscale 与轻连 derp 使用手册

一句话说明：Tailscale 在两端都是对称 NAT 时无法直连，需要借助中继（DERP）。轻连 derp 提供中国大陆的中继服务——没有自有服务器就租赁，有自有服务器就用轻枢。

文档信息

端口速查（最易踩坑）

轻枢端口不是固定值，不同节点不同，平台也可能调整。配置前请到控制台核对实际端口。

1. 开始使用 Tailscale

1.1 安装与登录

下载页：tailscale.com/download

图 1-1　Tailscale 官方下载页

各平台安装：

# Linux
curl -fsSL https://tailscale.com/install.sh | sh
sudo systemctl enable --now tailscaled

# Windows 批量部署（静默）
msiexec /i tailscale-setup-1.90.2-amd64.msi /qn

登录：

tailscale up                      # 输出登录链接，浏览器授权
tailscale up --authkey=tskey-xxx  # 无交互登录，服务器常用

1.2 常用命令

tailscale status                     # 本机 IP 与整体状态
tailscale status --peers=true        # 所有 peer 的连接类型（排障高频）
tailscale ping <peer>                # 测试路径与延迟
tailscale netcheck                   # 本地网络条件（UDP/端口映射/DERP 延迟）
tailscale up --force-reauth          # 改策略后刷新
tailscale ip -4                      # 本机 Tailscale IP
journalctl -u tailscaled -f          # 实时日志

状态判读

图 1-2　tailscale status --peers=true 输出

中继不是常态。日常应追求直连，若频繁看到 relay，见第 5 章排查。

1.3 MagicDNS 与命名

启用后可直接用主机名访问，无需记 IP。主机名规则为 设备名.tailnet名.ts.net。

2. 为什么需要 DERP 中继

2.1 什么时候会用到中继

Tailscale 用 WireGuard 组网，理想情况下两台设备直连。但对称 NAT（NAT4）会让打洞失败，只能走中继：

云服务器通常同时存在安全组 + 系统防火墙两层 NAT，是典型的 NAT4 场景。

2.2 DERP 是什么

DERP（Tailscale 自研中继协议）运行在 HTTPS 之上，同时提供 DERP 服务（HTTPS）与 STUN 服务（UDP，用于探测与打洞）。它做两件事：

• 帮客户端互相发现并打洞（通过 STUN）
• 打洞失败时转发流量

图 2-1　Tailscale 连接建立原理

连接建立分三阶段：

• 中继先保底——立即连通，不等待
• 客户端并行打洞——STUN + DISCO
• 打通后透明升级为 direct

2.3 官方 DERP 的问题

3. 怎么选：两条产品线

核心判断依据：有没有一台自己能完全控制的服务器。

图 3-1　三条接入路径对比

3.1 选择建议

路径 B 的硬性前提：DERP 不能位于 NAT 或负载均衡之后。必须能被公网直接访问，不要放在 Nginx 反代、SLB、CDN 之后——否则设备识别与协议兼容性都会出问题。轻枢会规避这一点，但部署前仍需确认服务器网络环境。

4. 路径 A：租赁轻连 derp

4.1 套餐与价格

官方站点

说明：文中凡涉及购买、续费、卡密兑换、查看节点，均指 derp.org.cn 站点，文档中不再重复书写域名。

4.1.1 网上商城

图 4-1　轻连 derp 网上商城

商城按产品线分四个Tab：纯 IP 的 Derp / 域名证书 Derp / Agent（轻枢），价格与档位如下。

4.1.2 两种计费模式

决策：纯 IP 解决「连得上、跑得稳」，TLS 域名解决「走得标准 HTTPS」。可单独购买，也可叠加构成「IP + HTTPS」双通道兜底。

4.1.3 纯 IP 租赁

矩阵说明：A / B 两类均为 200M 共享峰值带宽（单台服务器 3-4 人合租），仅月付与年付两档（年付 = 10 个月价格）。A / B / C / D 四类都可升级为 200M 独享矩阵，升级价 ¥225 / 半年。

提示：新用户可先购¥1 / 3 天试用档验证效果，再决定长期档位。

4.1.4 域名证书Derp

4.1.5 Agent（轻枢）

年付更划算，且企业版 Stable 才支持平台域名、平台证书与 DNS 故障转移（详见 5.2）。

4.1.6 常见组合

4.2 下单与开通

方式一：商城在线购买（推荐）

• 访问 https://derp.org.cn → 选择产品 Tab → 选套餐 → 下单
• 支付（量大可申请折扣）
• 交付时效：在线支付 1–3 分钟自动开通

方式二：卡密购买（淘宝等官方渠道）

• 在官方淘宝店购买对应产品的卡密（序列号）
• 登录 https://derp.org.cn 用户中心 → 左侧「账户与财务」→「卡密充值」
• 粘贴序列号 → 点「立即兑换」，系统自动为对应服务充值时长

图 4-2　卡密充值页面

卡密规则

图 4-3　序列号兑换说明

注意：兑换失败常见原因：序列号位数与账号类型不匹配（例如用15 位域名证书卡密兑换纯 IP 账号）。请确认购买的产品与账号类型一致。

轻连Derp Relay 7 天无理由退款：购买 轻连Derp Relay 后 7 天内可申请退款，放心试用。

4.2.3 试用申请：在线填单

试用仅限纯IP 租赁模式：任意纯IP 套餐在备注中注明「申请试用」，或直接在下单页把周期选为「纯IP 试用（3 天）」，平台在工作时间内人工确认后开通 0.99 / 1 元 / 3 天试用，满意后一键续费为正式纯IP 套餐。TLS 证书域名模式不提供免费试用，但月租档可随时停续，等于按月体验。

在线填单步骤

Tailnet Auth Key 获取办法

提示：提交订单前请先在客户端登录并跑通 Tailscale，平台会用该 Auth Key 自动完成节点开通。表单中的「备注」可用于说明所在区域、并发规模与业务场景，便于顾问给出节点建议。

4.2.4 微信 / 支付宝付款开通

在线支付是自助开通路径：付款成功后系统自动交付，无需等人工回复。金额较大的订单可走对公转账，转账后把回单发到客服微信即可人工确认开通。

发票与合同：支持开具增值税专用 / 普通发票，可提供盖章合同与对账单等配套文件。需要合规材料时在下单备注中说明即可。

添加客服开通：客服手机 180 6981 5327（微信同号），可直接添加好友，说明所在区域、并发规模与业务场景，顾问协助选节点、走试用与开通；也可到用户中心「消息与支持」留言。

4.3 用户中心

登录 https://derp.org.cn（右上角「登录」）→ 进入「轻连 DERP 技术服务」控制台。节点信息、ACL 配置、监控、卡密充值与续费都在这里。

侧栏速查

注意：续费提醒带红色「已到期」角标时，说明服务已到期，需尽快用卡密充值续费，否则节点回收会导致团队退回官方 DERP。

图 4-4　服务状态

4.3.1 各功能页说明

服务状态　展示本区节点的实时在线状态与配置项，包括 DERP / STUN 端口、域名、License 档位。Agent 类节点还会显示心跳上报时间。

服务器监控　展示 Agent 管理的服务器实时指标，内容按订阅套餐层级呈现（不同档位可见的指标详细程度不同）。多节点时通过下拉选择器切换，格式为 IP (状态) - 轻枢 ID。无数据时会明确提示「Agent 未上报数据或数据已过期，请检查 Agent 运行状态」。

图 4-5　服务器监控

图 4-6　容器托管节点列表

容器托管　租赁中继的节点信息与监控入口，ACL 走「租赁 ACL 配置」。可监控项通常包含节点状态、带宽使用、连接数等，随套餐层级变化。

图 4-7　监控仪表盘

订单管理　续费、发票、订单查询。

4.3.2 监控可见深度

按档位区分：

4.4 接入 Tailscale

第一步：到用户中心「服务状态」页复制节点信息，得到 IP、端口、域名。

第二步：登录 Tailscale 管理控制台 → Access controls，在策略 JSON 中新增 derpMap。

图 4-8　Access controls 策略编辑器

第三步：保存后客户端刷新并验证。

sudo tailscale up --force-reauth
tailscale netcheck                   # 应出现你的区域码
tailscale ping <对端>                # 应显示 relay "<你的区域码>"

图 4-9　netcheck 输出示例

判读要点

注意：不打算只用轻连 derp、想保留官方兜底时，不要设置 OmitDefaultRegions: true。

4.5 续费

续费入口

续费规则

建议：到期前 7 天检查「续费提醒」。节点回收后重配 derpMap 需要时间，期间团队会退回官方 DERP。

年付更划算：域名证书 Derp 年付 ¥150（折约 ¥12.5/月）、Agent 企业版 Stable 年付 ¥199（折约 ¥16.6/月），比月付省约 17%。

5. 路径 B：轻枢自建

5.1 轻枢是什么

轻枢是部署在用户自有服务器上的轻量 Agent，由「License + Agent + 用户中心控制台」组成。

图 5-1　轻枢部署架构与数据流

核心差异：轻枢的 DERP / STUN 使用平台随机分配的非标端口（实测示例 22048 / 25288），不是标准的 443 / 3478。配置时必须使用控制台实际给出的端口。

5.2 套餐与授权

两档均含 Watchdog 自动重启、实时监控、告警通知、故障恢复可视化。

Pro 版三个限制：不支持平台域名、不支持平台证书续期管理、不支持 DNS 故障转移。若需走 HTTPS 标准端口接入（规避纯 IP 封锁），必须选稳定版。

5.2.1 License 与节点信息

图 5-2　License 详情页

关键字段说明：

多 License 管理：账号下有多个轻枢 License 时，可在 License 列表全选并合并。

图 5-3　我的 License 列表

轻枢 Agent 节点与「容器托管」租赁节点的 ACL 完全分库存储，互不影响。

5.3 部署流程

图 5-4　轻枢部署与接入流程

前置条件

步骤

• 购买轻枢 License，进入用户中心确认节点已开通
• 在服务器上部署 Agent，绑定 License
• 确认 Agent 状态为 online（stale 表示心跳超时，需检查进程与网络）
• 到「Agent ACL 配置」页复制 derpMap JSON
• 粘贴到 Tailscale 策略中并保存
• 客户端验证

Agent 节点 ID 形如 47_101_161_12_derp_agent_11e8f8e9（IP 下划线 + derp_agent_ 前缀 + 哈希）。

5.4 Agent ACL 配置

图 5-5　Agent ACL 配置页

页面说明：仅展示轻枢 Agent（derp_agent_*）节点，与「容器托管 → 租赁 ACL」分库存储，按 License 维度查看与合并。

多 License 合并：账号下有多个轻枢 License 时，可全选并合并选中，将多个节点合并到一份 ACL 统一管理。

卡片内可直接复制完整 JSON，粘贴到 Tailscale 策略即可。

5.5 配置 derpMap

5.5.1 derpMap 字段

最省事的方式：到「Agent ACL 配置」页点卡片内复制按钮，平台已生成完整 JSON。

5.5.2 配置示例

{
  "derpMap": {
    "OmitDefaultRegions": true,
    "Regions": {
      "901": {
        "RegionID": 901,
        "RegionCode": "u1000002n28",
        "RegionName": "轻枢上海",
        "Nodes": [
          {
            "Name": "agent1",
            "HostName": "u1000002n28.derp.plus",
            "IPv4": "47.101.161.12",
            "IPv6": "none",
            "DERPPort": 22048,
            "STUNPort": 25288
          }
        ]
      }
    }
  }
}

注意：OmitDefaultRegions: true 会丢弃全部官方 DERP 区域，流量只走自定义区域（无官方兜底）。仅在自建节点已稳定运行时使用。

注意：RegionID 必须 ≥900（官方保留 900–999），否则策略保存会失败。

5.5.3 客户端生效与验证

sudo tailscale up --force-reauth
tailscale netcheck# 应出现 u1000002n28，Nearest DERP 指向它

图 5-6　轻枢场景 netcheck 输出

判读要点

5.6 常见问题

6. 故障排除与网络调试

6.1 三个核心命令

tailscale status --peers=true      # 看每个 peer 是 direct 还是 relay
tailscale ping <peer>              # 看路径类型与往返时延
tailscale netcheck                 # 看本地网络条件

图 6-1　故障分层排查

6.2 netcheck 关键字段

JSON 输出便于脚本分析：

tailscale netcheck --format=json > /tmp/netcheck.json

6.3 自定义 DERP 配置类故障

6.4 日志采集

journalctl -u tailscaled -n 200 --no-pager
tailscale status --json > /tmp/status.json
tailscale netcheck --format=json > /tmp/netcheck.json

向他人求助时附上上述三份输出，以及 OS 与网络运营商信息。

6.5 端口对照与常见故障

端口对照

轻枢端口不是固定值。配置前到控制台核对实际端口，并放行。

常见故障速查

附录 A：快速参考卡

A.1 排障三命令

tailscale status --peers=true      # 连接类型（direct / relay）
tailscale ping <peer># 路径与往返时延
tailscale netcheck                 # 网络条件与 DERP 延迟

A.2 区域码对照

轻枢的 RegionCode 为平台子域名前缀（如 u1000002n28）。

A.3 轻枢控制台速查

A.4 快速决策