Tailscale 在只有代理出网的沙箱里上线：假暂停与注册 400 两个连环坑

背景：装好了，跑起来了，就是不上线

这台沙箱的出网方式很特殊：没有可用的公网网卡，只有一条代理出口，容器网卡上只有一个 169.254 段的链路本地地址。我在里面装好 tailscaled，服务能启动，日志也没有报错退出，但节点就是不在 tailnet 里出现。第一反应很容易是“被墙了”或者“服务端挂了”，实测下来两个都不是——它是两个连环坑，一个接一个，每修掉一个才露出下一个。

坑一：假暂停——控制面根本没开始拨号

第一个坑的表象最容易误导人：tailscaled 进程活着，netcheck、日志上传这些附带功能都正常，唯独控制面日志里完全没有出现。查 goroutine 堆栈，控制客户端停在 waitUnpause 上——它从启动那一刻起就被 pause 了，根本没有拨过号。不是拨号失败，是压根没拨。

根因在 tailscaled 自带的网络监测（netmon）：它要求网卡上有一个非回环、非 169.254 的地址，才判定“有网络”。这台沙箱的网卡只有 169.254 链路本地地址，HaveV4 和 HaveV6 全是 false，于是 netmon 判定无网络，直接把控制客户端暂停。netcheck 正常是个烟雾弹：它不走这条暂停逻辑，正常不代表控制面正常。

解法是给 tailscaled 的 systemd 环境加一个测试开关，让它跳过这层网络判定：

[Service]
Environment=TS_ASSUME_NETWORK_UP_FOR_TEST=1

重启后控制面立刻开始拨号。注意这个开关的名字里带 TEST，但在这里它不是“绕过测试”，而是告诉程序“别用网卡地址推断有没有网”——在只有代理出网的容器里，网卡地址本来就说明不了出网能力。改完要验证的不是进程活着，而是日志里真的出现了控制面拨号记录。

坑二：注册 400——machine key 过不了 MITM

解了暂停，第二个坑立刻出现：注册被服务端回 400，报错是 missing machine key in /machine TLS request。第一反应是去改请求头、换 UA、加中继，全部无效——因为问题不在应用层。

Tailscale 的 machine key 不是放在请求体里的字段，它是做成 TLS 客户端证书，在握手里出示的。沙箱的显式代理是 TLS 终止型 MITM：它会重开一条新连接，握手里的客户端证书过不去，服务端收不到 machine key，一律回 400。客户端侧无论怎么装饰请求，都补不回握手里丢掉的证书。auth key 注入走的是同一个注册接口，MITM 没绕开之前一样是 400——不是密钥路线不行，是前置门槛没过。

当时列了三条出路：让出口对控制面域名按 SNI 直通、不做 TLS 检查；走 SOCKS5 类字节隧道出口（不终止 TLS）；或者在正常网络的机器上登录后把 state 文件拷进来（供体必须停 daemon 并废弃该 state，两台不能同时上线，节点密钥到期重注册时还会再撞 400）。三条都没动手之前，实测先发现了第 0 条路：这个平台的 443 透明转发本身就是干净的 SNI 直通，MITM 只发生在显式代理那一跳。

验证方法是把直连和代理两条路的证书签发者分别测一遍：直连控制面域名，证书是正常的 Let's Encrypt；经显式代理，证书就换了签发者。两边一对比，MITM 的位置就钉死了——不是全网都被拦，只拦了显式代理那一跳。于是解法简单到只有一行：

[Service]
Environment=NO_PROXY=controlplane.tailscale.com

绕开显式代理后，12 秒就出了 AuthURL。出口打通后，密钥注入完全可用，而且是临时沙箱回收后重登的正解：用 reusable、ephemeral、preauthorized 的 key，从文件读入，避免把 key 写进命令行历史：

tailscale up --auth-key=file:/path/to/authkey

验收：别只看进程，要看六项

上线不能只凭“服务 active”就宣布胜利。我当时的验收是六项全过：节点在 tailnet 里出现并拿到内网 IP、控制面连接正常、RunSSH 开启、能从另一台机器连上、节点密钥到期时间在预期内、重启后能自己回到 Running 才算成。特别是最后一条：沙箱会无预警重建，state 文件拷入的方案如果不重启复测，等于没验。

还有两个顺带结论值得记下来。第一，判 MITM 位置时，别默认全网都被拦，要把直连和代理两条路的证书签发者分别测，差一个字都可能指向不同的解法。第二，日志里“什么都没有”本身就是信息：控制面零出现、goroutine 停在 waitUnpause，指向的是“根本没拨号”，而不是“拨了被拒”——这两者的修法完全不同，前者修本地判定，后者才修出口。

总结

只有代理出网的环境里给 Tailscale 上线，顺序应该是：先看控制面到底有没有开始拨号（没拨先解暂停），再看注册失败是不是握手层丢了证书（是则绕开 TLS 终止，别在应用层装饰请求），最后按 SNI 直通或字节隧道定一条干净出口，并用“重启后自己回到 Running”收尾。两个坑单独看都不难，难的是第一个坑会让你误以为是第二个坑的问题——而日志里什么都没有的时候，恰恰是最该先查本地判定的时候。