不用公网 IP！Tailscale 免费私有组网：手机随时访问家里电脑和 NAS

一句话导读：出海工具实测 · 2026年10月20日

出海工具实测 · 2026年10月20日

想在外面用手机打开家里电脑上的网页、NAS 里的文件，第一反应是申请公网 IP——但家宽大多是大内网，根本申请不到。Tailscale 换了个思路：把你的手机、电脑、NAS 拉进一个只有你能进的私有网络（官方叫 tailnet），设备之间像在同一个局域网里一样互访，不需要公网 IP、不需要端口映射。个人版免费，今天把注册、安装、验收、避坑一次讲透。

一、免费档到底免什么

官网 Personal 计划目前标着 $0 / Free forever，包含：

• 最多 6 位用户（同一个人的手机+电脑不算两个人）
• 个人设备数量不限（别信老教程说的"100 台上限"，已过时）
• 50 个带标签资源、每月 1,000 分钟临时资源额度、3 个 ACL 分组——普通互联根本用不到这些高级货

💡 **先把边界说清：**Tailscale 只提供"设备之间的连接"，不送云服务器、存储空间或公网 IP，也不会自动帮你开启远程桌面、NAS 网页或文件共享——那些是你设备上本来就有的服务，它只负责把路修通。"长期免费"是当前计划的描述，不是对未来的保证。

⚠️ 注册最大的坑——邮箱选错进试用：用 Gmail 等公共邮箱注册，一般直接进免费的 Personal；用自有域名邮箱注册，可能被自动塞进 14 天 Enterprise 试用。注册时选 Personal use，之后再核对一眼实际计划，别把试用功能当永久免费的用。看到升级、付款、附加项页面先退出，本教程全程不需要付款。

二、开始前准备四样

• 两台自己的设备：比如 Windows 电脑 + iPhone，或 Mac + Android。被访问的电脑/NAS 要保持开机，休眠会断线
• 一个单点登录（SSO）账号：Google、微软、苹果账号都行；所有设备都用同一个账号登录
• 安装权限：电脑可能要管理员权限，手机要允许建立 VPN 配置；公司/学校的受管设备先拿许可，别硬来
• 一个明确的访问目标：比如电脑上跑在 8080 端口的网页。没有现成服务也行，先以"设备互见"为验收目标，别为了测试临时开放文件夹或远程桌面

三、第 1 步：建立你的 tailnet

• 打开 Tailscale 官网，点 Get started，在 Sign up with your identity provider 页面选你的登录方式
• 完成登录和多重验证，确认浏览器里是你要用的那个账号，别让它自动选成工作账号
• 到 Welcome 页面选 Personal use，核对计划是 Personal / $0；显示 Enterprise trial 先处理计划，别继续往下走

预期结果：出现 Let's add your first device，或进入管理控制台。注意，网页登录成功不等于电脑已经装好客户端了，那是下一步。

四、第 2 步：电脑安装并登录

Windows：到官网下载 .exe 安装包运行 → 在任务栏右下角找到 Tailscale 托盘图标（没有就点向上箭头展开）→ 右键选 Log in → 浏览器里用第一步的同一账号登录并确认这台设备 → 回到托盘看连接状态。

macOS：优先用官网的独立安装包（别和 App Store 版混装）。安装后按引导添加 VPN 配置；如果提示网络扩展被阻止：macOS 15 及以后去 系统设置 → 通用 → 登录项与扩展 → 网络扩展 里启用 Tailscale；macOS 14 及更早去 隐私与安全性 里点允许。

Linux（可选）：官方提供安装脚本，但会改变本机状态，建议先看官方文档确认发行版再动手；NAS 优先按厂商自己的 Tailscale 文档来，别把通用命令直接粘到 NAS 上。

预期结果：设备出现在控制台 Machines 列表里，有设备名和一个 100.x.y.z 的 Tailscale IP。若显示 Needs approval，先看第六节的批准说明，不要反复重装。

五、第 3 步：手机登录同一网络

• iPhone：App Store 装 Tailscale → Get Started → 系统问是否添加 VPN 配置，确认是 Tailscale 后允许 → Log in 用同一个 SSO 账号 → 回到客户端确认连接开启
• Android：Google Play 装 Tailscale → Get Started → 允许建立 VPN 配置 → 走浏览器登录流程用同一账号 → 返回确认连接开启

💡 **手机上已有别的 VPN？**iOS 和 Android 同一时间通常只能跑一个 VPN，另一个抢占就会把 Tailscale 顶掉。先在自己有权管理的设备上暂停它再测；工作设备不要擅自关企业 VPN。

六、三种"批准"别搞混

新手最容易卡在这里：登录路上其实有三道不同的门，过了一道不等于全过。

• 系统许可（手机弹窗 / macOS 设置）：允许 Tailscale 在这台设备上建网络通道。拒绝了它，账号登上了也连不上
• 账号登录与设备认证（浏览器里）：核对三件事——是不是你刚点的这台设备、账号对不对、要加入的是不是你自己的 tailnet。不要批准来源不明的设备登录，更不要把登录链接发给别人
• 管理员批准：网络开了 Device approval 时，新设备在 Machines 里挂着 Needs approval，管理员核对设备名、系统、所属用户无误后点 Approve 才放行；另外还有 User approval（批"人"不是批"设备"，2025 年 5 月后新建的 tailnet 默认开启）

七、验收：连上 ≠ 能用，按这个顺序验

**验收 A：网页看得到两台设备。**进 Machines，确认电脑和手机在同一个网络、名字和用户都对、没有待批准提示；记下电脑的 Tailscale IP（100.x.y.z）。注意别搞混：192.168.x.x 是家里局域网地址，127.0.0.1 是设备自己。

**验收 B：查 Tailscale 层连接。**电脑上（Windows 用 PowerShell）跑：

tailscale status
tailscale ping 100.x.y.z
tailscale netcheck

结果怎么读：ping 有回应 = Tailscale 层的路是通的；direct 是直连，relay / DERP 是走加密中继（中继也能正常用，只是慢一点）；netcheck 显示 UDP: false 说明难以直连、多半靠中继，不是"必失败"。

**验收 C：打开真正的服务。**假设电脑上有个 8080 端口的网页服务，手机保持 Tailscale 连接，在浏览器输入 **http://100.x.y.z:8080**，看到应用自己的页面才算数（用应用原来的账号登录，Tailscale 不替代应用密码）。没有网页服务、访问失败是正常的，别为了验证去关防火墙或开远程桌面。

**验收 D：换设备名访问。**MagicDNS 会给设备自动注册名字（新 tailnet 默认开启），试着用 http://你的电脑设备名:8080 访问。IP 能通、名字不通，先查 DNS，别急着重新注册账号。

💡 最终验收标准：让手机切到蜂窝数据、电脑留在家里网络，再重复验收 C。两台设备在同一个 WiFi 下成功，只算成功了一半——外出场景才是你真正要用的场景。

八、连上之后，先做好这四件安全设置

• 给登录账号开 MFA：Tailscale 的安全基本等于你 SSO 账号的安全。去账号的安全设置里开多重验证，优先通行密钥或硬件密钥，别和家人共用一个密码
• 收紧访问控制："私有网络"不等于成员互相隔离——默认策略可能允许网内广泛互访。到 Access controls 按最小权限规划"谁 → 哪台设备 → 哪个端口"，改之前先备份策略、用 Preview rules 核对，别盲贴网上的全网策略（可能把自己锁在门外，或者反过来全放开）
• 保留密钥过期机制：设备默认每 180 天重新认证一次。别为了省事给所有设备永久禁用过期；带标签设备首次认证默认禁用过期，要特别检查
• 不用的设备从控制台移除：Machines → 设备菜单 → Remove。只卸载客户端不等于移出网络；设备丢了，第一时间移除 + 处理账号会话

⚠️ **别为了图方便扩大暴露面：**不要顺手把路由器的 RDP、SSH、NAS 管理端口映射到公网；本教程不需要 exit node、子网路由和 Funnel（Funnel 是把服务公开到互联网，和只在 tailnet 内分享的 Serve 不是一回事），先都别开。不要公开自己的 auth key、登录链接和完整设备清单。

九、连不上？按这个顺序排查

原则：先用 IP 再试名字，先确认组网再查应用，每次只改一个因素，不要一上来就重装、重置网络、关防火墙。

• 网页登了但 Machines 没有设备：多半是只登了网站、没登客户端，或登错了账号/进了另一个 tailnet。从客户端重新发起登录，核对账号和网络
• 设备在列表但 Needs approval：分清待批的是设备（去 Machines 批）还是用户（去 Users 批），核对身份后批准即可，不用反复退登
• 手机一开别的 VPN 就掉：系统 VPN 配置被拒或被其他 VPN 抢占。允许 Tailscale 的配置，暂停冲突的个人 VPN 再测
• 昨天还好今天离线：先查电脑是不是关机/休眠/断网，再看是不是 key expired，按官方流程重新认证，别直接永久关掉过期机制
• ping 通但网页/NAS 打不开：查三层——服务真的启动了吗？端口和协议对吗？应用是不是只监听 127.0.0.1（只监听本机的话，其他设备天然访问不到）？防火墙和 ACL 放行了吗？ping 成功不代表应用层一定通
• IP 通、名字不通：查 MagicDNS 是否启用、设备名有没有拼错，直接从 Machines 复制完整名称
• 慢、延迟高：看 status 是 direct 还是 relay，再看 netcheck。换个网络对比测试；中继慢一点是常态，不必把"必须直连"当硬指标
• 公共 WiFi / 公司网络完全连不上：先完成 WiFi 的网页认证；组织网络可能有管控，不要擅自规避公司安全策略
• 连上 Tailscale 后普通上网异常：多半误选了 exit node 或接受了不需要的子网路由。记下当前设置，恢复成"不用 exit node"的基础互联再复测

十、最后对照一次

• 当前计划是 Personal，不是把 Enterprise 试用当永久免费
• 两台设备用同一账号、同一 tailnet；系统许可、账号认证、需要的批准都完成了
• 目标设备开机联网，目标服务本身在运行、端口监听正确；用 Tailscale IP 能打开，已在外出网络下复测过
• 登录账号开了 MFA；知道密钥何时过期；不用的设备会移除
• 没有为这篇教程意外开公网端口、启用 Funnel 或购买任何附加项

⚠️ **说明：**本文依据 Tailscale 官方公开资料整理（2026-10-20），我没有实际注册和组网实测；不同客户端版本、系统语言可能让按钮名称略有不同，以你设备上的实际界面为准。免费额度和条款以官网最新说明为准。仅供学习交流，请勿用于非法途径。

资料来源：Tailscale 官网价格页、Quickstart 与各平台安装文档、Device approval / User approval / Key expiry 官方说明（2026-10-20 整理）。