异地组网与虚拟局域网完全指南 (SD-WAN)

# 1. 一键安装脚本 (官方支持绝大部分 Linux)
curl -fsSL https://tailscale.com/install.sh | sh

# 2. 启动并执行授权 (终端会给出登录 URL)
sudo tailscale up

# 3. 验证当前组网内的设备状态
tailscale status

# 4. 查看本机的 Tailscale IP
tailscale ip -4

# ── Subnet Router：将整个局域网接入 Tailscale 网络 ──────────────────────────
# 在家庭局域网网关机（如树莓派/NAS/路由器）上执行

# 1. 开启 IP 转发
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

# 2. 广播子网路由（将 192.168.1.0/24 替换为你的局域网网段）
sudo tailscale up --advertise-routes=192.168.1.0/24

# 如果有多个子网：
sudo tailscale up --advertise-routes=192.168.1.0/24,10.0.0.0/24

# 3. 在 Tailscale 管理后台审批路由
# https://login.tailscale.com/admin/machines → Edit route settings → 勾选子网

# 4. 其他组网设备开启"Accept Routes"
sudo tailscale up --accept-routes

# 5. 验证：在任意组网设备上 ping 家里局域网的内网 IP
ping 192.168.1.100   # 应该能 ping 通，就像人在家里一样

// Tailscale ACL 策略文件（HuJSON 格式，在管理后台 Access Controls 页面编辑）
// 文档：https://tailscale.com/kb/1018/acls

{
  // 定义标签（打标签后可以按标签而非设备名控制访问）
  "tagOwners": {
    "tag:server":  ["autogroup:admin"],   // 服务器类设备
    "tag:client":  ["autogroup:admin"],   // 客户端设备（手机/电脑）
    "tag:monitor": ["autogroup:admin"],   // 监控设备
  },

  // 访问控制规则（默认全部拒绝，需显式允许）
  "acls": [
    // 1. 管理员可以访问所有设备
    {
      "action": "accept",
      "src": ["autogroup:admin"],
      "dst": ["*:*"],
    },

    // 2. 客户端只能访问服务器的特定端口
    {
      "action": "accept",
      "src": ["tag:client"],
      "dst": ["tag:server:22,80,443,3000-9999"],  // SSH + Web 服务端口
    },

    // 3. 服务器之间可以互相通信（用于数据库复制/备份等）
    {
      "action": "accept",
      "src": ["tag:server"],
      "dst": ["tag:server:*"],
    },

    // 4. 监控节点只能访问各设备的监控端口
    {
      "action": "accept",
      "src": ["tag:monitor"],
      "dst": ["*:9100"],   // Node Exporter 端口
    },
  ],

  // SSH 配置：允许通过 Tailscale SSH 访问（不需要密钥文件）
  "ssh": [
    {
      "action": "accept",
      "src":    ["autogroup:admin"],
      "dst":    ["tag:server"],
      "users":  ["autogroup:nonroot", "root"],
    },
  ],
}

# 1. 开启系统 IP 转发功能
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

# 2. 启动时声明自己为出口节点
sudo tailscale up --advertise-exit-node

# 3. 在 Tailscale 管理后台审批该设备的 Exit Node 权限
# 访问 https://login.tailscale.com/admin/machines → 找到设备 → Edit route settings

# 4. 客户端连接时选择出口节点
tailscale up --exit-node=<exit-node-IP>    # 命令行
# 或在手机/电脑的 Tailscale App 里图形化选择

# ── 在国内 VPS 上自建 DERP 中继节点 ─────────────────────────────────────────

# 1. 安装 Go 环境（DERP 用 Go 编写）
apt install golang-go -y
# 或者用官方最新版：
wget https://go.dev/dl/go1.22.linux-amd64.tar.gz
tar -C /usr/local -xzf go1.22.linux-amd64.tar.gz
export PATH=$PATH:/usr/local/go/bin

# 2. 安装 derper（Tailscale DERP 服务端）
go install tailscale.com/cmd/derper@latest

# 3. 申请 SSL 证书（DERP 需要 HTTPS）
certbot certonly --standalone -d derp.yourdomain.com

# 4. 创建 systemd 服务文件
cat > /etc/systemd/system/derper.service << 'EOF'
[Unit]
Description=Tailscale DERP Server
After=network.target

[Service]
Type=simple
User=root
ExecStart=/root/go/bin/derper   --hostname=derp.yourdomain.com   --certmode=manual   --certdir=/etc/letsencrypt/live/derp.yourdomain.com   --stun   --verify-clients
Restart=always

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now derper

# 5. 在 Tailscale 管理后台配置自定义 DERP
# 访问 https://login.tailscale.com/admin/dnsplit
# 或在 ACL 策略中添加：
# "derpMap": {
#   "OmitDefaultRegions": false,  // 保留官方节点作为备份
#   "Regions": {
#     "900": {
#       "RegionID": 900,
#       "RegionCode": "cn-custom",
#       "RegionName": "China Custom DERP",
#       "Nodes": [{
#         "Name": "1",
#         "RegionID": 900,
#         "HostName": "derp.yourdomain.com",
#         "DERPPort": 443,
#         "STUNPort": 3478
#       }]
#     }
#   }
# }

# 6. 验证 DERP 节点可用
tailscale netcheck

# ── Headscale：完全开源的 Tailscale 自托管控制服务器 ────────────────────────
# 官方文档：https://headscale.net

# 1. 下载最新版 Headscale
VERSION=$(curl -s https://api.github.com/repos/juanfont/headscale/releases/latest   | grep '"tag_name"' | cut -d'"' -f4)
wget "https://github.com/juanfont/headscale/releases/download/${VERSION}/headscale_linux_amd64"   -O /usr/local/bin/headscale
chmod +x /usr/local/bin/headscale

# 2. 创建配置目录和用户
mkdir -p /etc/headscale /var/lib/headscale
useradd -r -d /var/lib/headscale -s /bin/false headscale

# 3. 生成默认配置文件
headscale generate config > /etc/headscale/config.yaml

# 文件路径：/etc/headscale/config.yaml（关键配置项）

# 服务器地址（必须是 HTTPS，客户端用此地址连接）
server_url: https://headscale.yourdomain.com:443

# 监听地址
listen_addr: 0.0.0.0:8080

# 分配给设备的虚拟 IP 段
ip_prefixes:
  - fd7a:115c:a1e0::/48
  - 100.64.0.0/10

# DNS 配置（MagicDNS）
dns_config:
  magic_dns: true
  base_domain: headscale.internal    # 设备通过此域名互访
  nameservers:
    - 1.1.1.1
    - 8.8.8.8

# 数据库（默认 SQLite，生产可改为 PostgreSQL）
db_type: sqlite3
db_path: /var/lib/headscale/db.sqlite

# DERP 配置（可接入自建 DERP）
derp:
  server:
    enabled: false
  urls:
    - https://controlplane.tailscale.com/derpmap/default

# ── Headscale 日常管理命令 ──────────────────────────────────────────────────

# 创建用户命名空间（相当于 Tailscale 的 Tailnet）
headscale users create myuser

# 生成设备注册 Key（用于新设备加入）
headscale preauthkeys create --user myuser --reusable --expiration 24h

# 查看已注册设备
headscale nodes list

# 删除设备
headscale nodes delete --identifier <node-id>

# 客户端连接 Headscale（替换官方控制服务器地址）
sudo tailscale up   --login-server=https://headscale.yourdomain.com   --authkey=<上面生成的PreAuthKey>

# 查看路由
headscale routes list
headscale routes enable --route <route-id>

# 1. 一键安装 ZeroTier
curl -s https://install.zerotier.com | sudo bash

# 2. 加入虚拟网络 (将 NETWORK_ID 替换为控制台生成的 16 位 ID)
sudo zerotier-cli join NETWORK_ID

# 3. 检查连接状态
sudo zerotier-cli listnetworks

# 4. 查看当前节点信息
sudo zerotier-cli info

# ── ZeroTier Moon 节点：国内 VPS 加速中继 ───────────────────────────────────
# 在国内低延迟 VPS 上执行以下步骤

# 1. 安装 ZeroTier（同普通节点）
curl -s https://install.zerotier.com | sudo bash

# 2. 获取当前节点 ID
sudo zerotier-cli info
# 输出格式：200 info <节点ID> <版本> ONLINE
# 记录下 10位 节点ID，如：abcdef1234

# 3. 生成 Moon 配置文件
cd /var/lib/zerotier-one
sudo zerotier-idtool initmoon identity.public > moon.json

# 4. 编辑 moon.json，添加服务器 IP 信息
# 找到 "stableEndpoints" 字段，修改为：
# "stableEndpoints": ["你的VPS公网IP/9993"]
# 例如：
# "stableEndpoints": ["123.45.67.89/9993"]

# 5. 生成 Moon 文件（生成 .moon 后缀的文件）
sudo zerotier-idtool genmoon moon.json
# 会生成一个类似 000000abcdef1234.moon 的文件

# 6. 将 .moon 文件放到 moons.d 目录
sudo mkdir -p /var/lib/zerotier-one/moons.d
sudo cp *.moon /var/lib/zerotier-one/moons.d/
sudo systemctl restart zerotier-one

# 7. 在所有其他设备上加入 Moon（执行两次是正确的）
sudo zerotier-cli orbit <节点ID> <节点ID>
# 例如：sudo zerotier-cli orbit abcdef1234 abcdef1234

# 8. 验证 Moon 连接
sudo zerotier-cli listpeers | grep MOON
# 看到 MOON 字样说明成功

# 9. 防火墙开放 ZeroTier 端口
ufw allow 9993/udp

# ── Netbird：完全开源、可自托管的现代 Mesh VPN ──────────────────────────────
# GitHub: https://github.com/netbirdio/netbird  (2025-2026 快速增长)
# 特点：完全兼容 WireGuard，支持 SSO 登录，自带 Web 管理界面

# ── 方案一：使用 Netbird 官方云服务（最简单）────────────────────────────────
# 在 app.netbird.io 注册账号，支持 Google/GitHub/微软 SSO 登录
# 免费版：5台设备，无限流量

# 安装客户端（Linux）
curl -fsSL https://pkgs.netbird.io/install.sh | sh

# 登录（自动打开浏览器授权）
netbird up

# 查看组网状态
netbird status

# ── 方案二：完全自托管（Netbird Self-Hosted）────────────────────────────────
# 前提：一台有公网 IP 的 VPS + Docker

# 1. 下载 Netbird 自托管部署脚本
curl -o docker-compose.yml   https://raw.githubusercontent.com/netbirdio/netbird/main/infrastructure_files/docker-compose.yml

# 2. 下载环境变量示例文件
curl -o setup.env   https://raw.githubusercontent.com/netbirdio/netbird/main/infrastructure_files/setup.env

# 3. 修改 setup.env 中的关键配置：
# NETBIRD_DOMAIN=vpn.yourdomain.com
# NETBIRD_LETSENCRYPT_EMAIL=your@email.com

# 4. 一键启动（自动申请 SSL 证书）
docker compose up -d

# 5. 客户端连接自托管服务器
netbird up --management-url https://vpn.yourdomain.com:443

# ── WireGuard 原生两点组网（最轻量，手动配置）──────────────────────────────
# 适用场景：固定两台机器互联，不需要多设备管理界面，追求极简

# ── 服务端（VPS，有公网IP）────────────────────────────────────────────────
apt install wireguard -y

# 生成服务端密钥对
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

# 查看生成的密钥（记录下来）
cat /etc/wireguard/server_private.key   # 服务端私钥
cat /etc/wireguard/server_public.key    # 服务端公钥

# 创建服务端配置文件
cat > /etc/wireguard/wg0.conf << 'WGEOF'
[Interface]
Address = 10.10.0.1/24          # VPN 内网地址
ListenPort = 51820               # 监听端口
PrivateKey = <服务端私钥>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <客户端公钥>         # 稍后填写
AllowedIPs = 10.10.0.2/32       # 客户端的 VPN 内网地址
WGEOF

# 开放防火墙端口
ufw allow 51820/udp

# ── 客户端（家庭/办公网络，可以没有公网IP）──────────────────────────────────
apt install wireguard -y

# 生成客户端密钥对
wg genkey | tee /etc/wireguard/client_private.key | wg pubkey > /etc/wireguard/client_public.key

# 创建客户端配置文件
cat > /etc/wireguard/wg0.conf << 'WGEOF'
[Interface]
Address = 10.10.0.2/24          # 客户端 VPN 内网地址
PrivateKey = <客户端私钥>

[Peer]
PublicKey = <服务端公钥>         # 服务端公钥
Endpoint = <服务端公网IP>:51820  # 服务端地址和端口
AllowedIPs = 10.10.0.0/24       # 允许路由的网段（只走 VPN 内网）
# AllowedIPs = 0.0.0.0/0        # 全流量走 VPN（改成这个相当于 Exit Node）
PersistentKeepalive = 25        # 保持连接（NAT 穿透）
WGEOF

# ── 双方互相填写对方公钥后启动 ────────────────────────────────────────────
# 将客户端公钥填入服务端 wg0.conf 的 [Peer] PublicKey
# 将服务端公钥填入客户端 wg0.conf 的 [Peer] PublicKey

# 启动并设置开机自启
wg-quick up wg0
systemctl enable wg-quick@wg0

# 验证连接
wg show                         # 查看握手状态
ping 10.10.0.1                  # 客户端 ping 服务端（应该通）