Flexus L 加入 Tailscale 内网：从安装到跨机互访的实操笔记

前言：为什么给 Flexus L 接 Tailscale

手头有一台华为云 Flexus L 云服务器，华北-北京四，Ubuntu 24.04，平时跑一些个人服务。最近的需求是：医院的 OA 系统要通过这台机器反代出来（监听 :8081），但 OA 只能在内网访问，不能直接暴露到公网；同时另一台电脑也要能直接连上这台服务器，像在同一个局域网里一样。

方案很直接：给这台 Flexus L 加入 Tailscale 内网。Tailscale 基于 WireGuard，设备之间通过 100.x.x.x 的虚拟内网地址互访，不用折腾公网端口映射和复杂的 VPN 配置。2026-11-05，这台机器已经正式加入了我的 tailnet，拿到了内网地址 100.119.45.81。下面是这次实操的完整记录。

一、环境

• 云服务器：华为云 Flexus L，华北-北京四（cn-north-4）
• 操作系统：Ubuntu 24.04
• 目标：加入 Tailscale 内网，内网 IP 100.119.45.81；医院 OA 通过本机反代 :8081，仅内网可达；多台设备跨机互访

二、安装 Tailscale

Ubuntu 上最省事的是用官方一键安装脚本（需要 root 或 sudo）：

curl -fsSL https://tailscale.com/install.sh | sh

脚本会自动识别发行版、配置软件源并安装 tailscaled。装完后检查服务状态：

systemctl status tailscaled

看到 active (running) 就可以继续。如果服务没起来，先看日志再往下走，不要硬跳过。

三、加入 tailnet

执行：

sudo tailscale up

首次执行会打印一个认证链接，在浏览器里打开，用 Tailscale 账号登录并确认这台设备加入网络。认证完成后回到终端，再确认状态：

tailscale status
tailscale ip -4

这台机器加入后，tailscale ip -4 返回的就是 100.119.45.81。2026-11-05 完成加入后，这个地址就固定属于这台 Flexus L 了。

四、放行与安全组：只放 Tailscale，不放业务端口

这一步最容易踩坑，原则就一条：让 Tailscale 能建连，但不要把业务端口暴露到公网。

1. Tailscale 节点之间直连走 UDP 41641，安全组需要放行该方向的出站 UDP；如果直连受限，Tailscale 会自动走 DERP 中继兜底，连通性不受影响，只是延迟和带宽会差一些。
2. 医院 OA 的反代端口 8081 只对内网开放、不对公网放行，安全组里不需要、也不应该为 8081 新开一条公网入方向规则。OA 的访问入口就是内网地址 100.119.45.81:8081 ，只有加入了同一个 tailnet 的设备才能打开。
3. 顺手确认本机防火墙（如有启用 ufw/iptables）没有拦截 tailscaled 的流量。

五、验证跨机互访

在另一台已加入同一 tailnet 的电脑上逐项验证：

1. ping 内网地址，能通说明两台设备已经在同一个虚拟局域网里：

ping 100.119.45.81

2. SSH 走内网地址登录，不再经过公网 IP：

ssh root@100.119.45.81

3. 打开 OA 反代，浏览器访问 100.119.45.81:8081 ，或用 curl 检查，能正常返回 OA 登录页，说明反代链路是通的：

curl 100.119.45.81:8081

4. 在 Flexus L 本机上用 tailscale status 确认对端节点在线。

这几项都通过之后，跨机互访就算正式打通了。日常使用中，另一台电脑无论在哪，只要连上 Tailscale，就能像在同一个局域网里一样访问这台服务器和它后面的 OA。

六、几点实操提醒

• 内网地址认准 100.119.45.81：所有内网访问都走这个地址，不要再记公网 IP。
• 8081 只对内网开放：OA 本身没有公网暴露面，安全边界就是 tailnet 的成员管理，换设备时及时在 Tailscale 控制台移除旧节点。
• 节点下线重连：如果 tailscale status 显示 offline，先 systemctl restart tailscaled，再 tailscale up 重新认证。
• 认证链接只在当时有效，不要把链接贴到公开地方。
• 设备增多后，可以在 Tailscale 控制台用 ACL / 标签做分组管理，避免所有节点默认互访带来的风险面扩大。

小结

这次实操只用了三步：装 Tailscale、tailscale up 加入 tailnet、确认放行策略后验证互访。Flexus L（华北-北京四，Ubuntu 24.04）2026-11-05 加入内网后拿到 100.119.45.81，医院 OA 经本机 :8081 反代、仅内网可达，另一台电脑直接用内网地址就能 ping 通、SSH 登录并打开 OA。没有公网端口暴露，也没有额外搭一套 VPN，轻量够用；后续再加设备，也只要在新设备上重复一遍安装和加入的流程即可。