云服务器只有 2 Mbps，异地组网够用吗？从 Tailscale、Headscale 和 DERP 说起

远程访问家里的 NAS、连接办公室开发环境，或者让不同地点的设备互相通信，都会遇到同一个问题：没有公网 IP，怎样把这些设备连接起来？

Tailscale、Headscale 和 DERP 是一组常见的解决方案。但真正开始部署后，更容易让人困惑的往往不是安装命令，而是这几个问题：

• 云服务器是不是会转发所有数据？
• 自建 Headscale 后，访问 NAS 就会变快吗？
• 为什么设备已经在线，却访问不了家里的其他设备？
• 只有 2 Mbps 带宽的云服务器，到底够不够？

判断服务器配置是否够用，首先要弄清楚数据经过哪里。下面从组件分工、连接路径、带宽计算和子网路由四个方面，分析小带宽云服务器在异地组网中的适用场景。

一、先把三个组件的分工说清楚

可以先用一张表理解它们：

其中，DERP 是相关协议与服务机制的名称，derper 是服务端程序。

Headscale 与中继服务是不同角色。把 Headscale 放在云服务器上，不代表 NAS 文件传输一定经过这台云服务器。Headscale 官方文档中的子网路由管理，也体现了控制服务负责审批和分发网络配置的职责。

二、决定速度的关键，是设备之间走哪条路径

为了讨论带宽，这里重点看直连和 DERP 中继两种路径。当前 Tailscale 也支持 peer relay，具体能力和配置要结合客户端及控制服务版本确认。

1. 设备能够直连

假设笔记本和家里的 NAS 都运行了 Tailscale，建立直连后，业务流量的路径可以理解为：

外出的笔记本 <====== 加密直连 ======> 家里的 NAS

这时，大文件主要在笔记本和 NAS 之间传输，速度取决于家里的上传带宽、外部网络、链路质量以及设备性能。云端控制服务的带宽不会成为这条文件传输路径的速度上限。

所以，即使控制服务只有 2 Mbps 带宽，也不能直接推导出“访问家里 NAS 最多只有 2 Mbps”。

2. 设备需要通过 DERP 中继

如果两端网络无法建立直连，而实际使用的是云端 DERP，路径就变成：

外出的笔记本 <====> 云端 DERP <====> 家里的 NAS

此时，文件数据需要经过中继服务器，它的带宽就会影响传输速度。DERP 提供的是加密流量转发能力，不能自动消除中继链路自身的带宽和延迟限制。

另外，连接路径可能发生变化。不要只凭设备刚上线时的一次状态，就认定它之后始终直连或始终中继。

三、2 核 2 GB、2 Mbps 的云服务器，应该怎样判断？

以一台 2 核 CPU、2 GB 内存、40 GB 系统盘、2 Mbps 峰值带宽的云服务器为例，不同用途对资源的要求有所不同。

2 Mbps 换算为字节速度，理论值为：

2,000,000 bit/s ÷ 8 = 250,000 byte/s
                          ≈ 250 KB/s

这是不考虑协议开销的理想值。实际传输还会受丢包、其他流量和服务器带宽规则影响。

假设传输一个十进制 1 GB 文件，并且能够持续用满 2 Mbps，理论上需要：

1,000,000,000 byte ÷ 250,000 byte/s
= 4,000 秒
≈ 67 分钟

实际传输还需要计入协议开销和链路波动，耗时通常更长。对于大文件传输，2 Mbps 带宽的限制十分明显。

如果服务器主要承担控制服务，购买时不必只盯着高带宽；如果明确要长期中继文件、视频或远程桌面，应优先评估带宽、流量包和两端到服务器的网络质量。具体资源能承载多少设备，仍需按部署版本和实际负载验证。

四、想访问整个家庭局域网，需要子网路由

只在 NAS 上安装 Tailscale，并不意味着外面的设备自然就能访问家里所有局域网地址。

例如，家庭网络中有这些设备：

家庭网段：192.168.50.0/24

NAS：      192.168.50.10，安装 Tailscale
打印机：   192.168.50.20，未安装 Tailscale
其他设备： 192.168.50.30，未安装 Tailscale

如果希望外面的笔记本访问打印机，可以让 NAS 或另一台常开设备承担子网路由器的角色：

外部笔记本
    |
    | Tailscale 网络
    v
家里的子网路由器
    |
    +--> 打印机
    +--> 其他局域网设备

整个过程要检查四个环节：

1. 子网路由器能否正常访问家庭局域网目标。
2. 子网路由器是否启用了所需的 IP 转发，并发布目标网段。
3. Headscale 是否批准了该节点发布的路由。
4. 访问端是否接受所需路由，访问策略和防火墙是否允许对应流量。

以 Headscale 当前稳定文档为例，可以查看路由信息，并批准指定节点的网段：

# 在 Headscale 所在环境中执行
headscale nodes routes

# 示例：批准节点 1 发布的指定网段
headscale nodes approve-routes --identifier 1 --routes 192.168.50.0/24

这里的节点编号和网段必须替换成实际值；如果 Headscale 在容器里运行，还需要在相应容器环境中执行。不同版本的命令可能不同，执行前应核对本机帮助和对应版本文档。

不要为了排查路由，直接删除已经注册的 NAS 节点。先检查已有配置，通常更容易保留现场并定位问题。

五、已经连上却很慢，先检查什么？

第一步：确认目标设备之间的连接方式

在访问端执行：

tailscale status
tailscale ping <目标设备的Tailscale名称或IP>

tailscale status 中，活动连接显示 direct 通常表示直连；显示 relay 则表示使用 DERP 中继。应结合实际目标设备和正在发生的通信观察结果。

如果已经直连，继续检查家庭宽带上传速度、无线网络、磁盘性能及目标服务。如果正在中继，再观察中继服务器的出口带宽、负载和网络质量。

第二步：检查本机网络条件

tailscale netcheck

它可以帮助了解本机的 UDP、NAT 和 DERP 可达性等网络条件。但“能够访问某个 DERP”与“访问某台 NAS 的业务正在走这个 DERP”不是同一件事，后者还需要结合目标连接状态判断。

第三步：把虚拟网络访问和局域网访问分开测试

可以按下面的顺序缩小范围：

这比一遇到问题就重装客户端，更容易找到原因。

六、部署时需要注意的两个问题

1. 软件版本与命令保持一致

Headscale 不同版本的设备注册和路由管理命令可能存在差异。部署前应确认 Headscale、Tailscale 和群晖套件的版本，并使用对应版本的文档。

使用容器部署时，固定镜像版本有助于保持环境一致。升级前备份配置与数据，检查版本变更说明，避免更新后出现命令或配置不兼容。

2. 提前规划局域网网段

如果家庭网络和外部网络恰好使用相同网段，访问局域网地址时就可能产生路由冲突。例如，家中与办公室都使用 192.168.1.0/24，客户端就需要区分目标地址属于哪个网络。

对于可以自行调整的多地点网络，应尽量分配不同网段，例如家庭使用 192.168.50.0/24，办公室使用 192.168.60.0/24，减少后续路由配置的复杂度。

七、回到最初的问题：小带宽云服务器够用吗？

判断异地组网服务器配置，先画出数据路径，再看参数。

控制服务、直连链路、中继服务和子网路由器承担不同工作。只有明确哪一部分真正经过云服务器，CPU、内存、带宽和流量包的比较才有意义。

对于个人 NAS 和少量设备组网，可以先用小规格服务器建立网络，再通过连接状态和真实传输测试判断是否需要升级。如果长期依赖中继，带宽通常比盲目增加控制服务的 CPU 更值得优先关注。

一台服务器是否够用，最终要回答的是：它是在帮助设备建立连接，还是在持续替设备搬运数据？

参考资料

• Headscale 官方文档：Routes（子网路由与路由审批）
• Tailscale 官方文档：Connection types（连接类型）
• Tailscale 官方文档：DERP servers（DERP 服务）
• Tailscale 官方文档：What firewall ports should I open to use Tailscale?（防火墙与连接状态）
• Tailscale 官方文档：Device connectivity（设备连接排查）