> ## Knowledge Base Index
> Fetch the complete knowledge base index at: https://helpdesk.ggcircuit.com/sitemap.xml
> Use this file to discover available pages before exploring further.
> Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash).

# Tailscale 是什么?

## 🔐 通过Tailscale网格VPN实现安全远程访问

Tailscale是一种现代网格VPN，用**身份感知网络**取代传统VPN设备和端口转发方案。在托管服务环境中，Tailscale能够在**授权支持工作站**和**客户端服务器**之间实现安全的加密通信，同时显著减少攻击面和复杂性。

### 🚫 无需开放防火墙端口

与传统VPN不同，Tailscale**不需要在防火墙上开放任何入站端口**。设备通过HTTPS向Tailscale的协调服务发起出站连接，并使用WireGuard建立加密隧道。

这使得以下功能成为可能：

* 完整的NAT穿透
* **无需对客户端网络防火墙进行任何更改**
* 通过**消除暴露的服务**降低安全风险

---

### 🌐 具有细粒度访问控制的网格连接

Tailscale形成**点对点网格网络**，使用基于设备标签和身份的**访问控制列表（ACL）**来限制访问。  
以下是访问管理的方式：

#### ✅ 允许的通信路径：

* **支持工作站**可以与以下设备通信：

  + **其他支持工作站**上的**所有端口**
  + **客户端服务器**上的**TCP 443、9090和22端口**
  + 通过**Tailscale SSH**连接客户端服务器（区别于传统的SSH端口22）
  + 使用**ICMP（ping）**对客户端服务器进行基本网络诊断（通过`:1`伪端口）

#### 🚫 被阻止的通信：

* **客户端服务器不能相互通信** – 这种东西向流量被有意阻止，以遏制潜在威胁并实施分段。
* 外部用户或设备无法访问Tailscale连接的系统，除非通过ACL明确允许。

---

### 🔐 端口级和协议级限制

| 协议/端口 | 用途 | 谁可以访问 |
| --- | --- | --- |
| TCP 443 | Web接口/API（HTTPS） | 仅支持工作站 |
| TCP 9090 | Cockpit或其他管理仪表板 | 仅支持工作站 |
| TCP 22 | 传统SSH、SCP、Rsync | 仅支持工作站 |
| Tailscale SSH | Tailscale上的加密SSH | 仅支持工作站 |
| ICMP（Ping） | 网络诊断 | 仅支持工作站 |

Tailscale SSH**不**使用TCP端口22。这是一个内置功能，允许授权用户基于身份而非IP或端口启动SSH会话。

---

### 🛡️ 基于身份的安全和标签

Tailscale网络中的每个设备都带有功能角色标签。这些标签由管理员分配，在ACL策略中使用以严格控制访问权限。

优势：

* **访问基于角色，而非IP**
* **动态IP**或网络更改不会影响访问
* 所有访问都**被记录和可审计**

---

### ✅ 优势总结

| 功能 | 传统VPN | Tailscale网格VPN |
| --- | --- | --- |
| 需要入站防火墙规则 | ✅ 是 | ❌ 否 |
| 需要集中式VPN网关 | ✅ 是 | ❌ 否（点对点） |
| 点对点连接 | ❌ 否 | ✅ 是 |
| 基于端口的访问限制 | ⚠️ 复杂ACL | ✅ 简单，通过配置强制执行 |
| 基于设备身份的安全 | ❌ 基于IP | ✅ 基于用户和设备 |
| 按角色/标签的细粒度访问 | ⚠️ 受限 | ✅ 完全可定制 |
| 服务器间通信 | ❌ 默认允许 | ✅ 显式阻止 |
| 具有可审计性的SSH控制 | ❌ 外部依赖 | ✅ 通过Tailscale SSH内置 |
| 诊断访问（ICMP） | ⚠️ 很少允许 | ✅ 通过伪端口控制 |

---

### 🧠 额外说明

* **无需VPN客户端配置** – 仅需在托管设备上安装Tailscale客户端。
* **无需静态IP管理** – 设备名称和身份在网络更改后保持一致。
* **日志记录和可审计性**：Tailscale SSH和ACL强制执行操作被记录并可追踪，供安全审查使用。

---