--- canonical: https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/ language: zh generated: 2026-10-21T13:34:54.966Z --- [首页](https://koalavps.com/zh/) / [探索](https://koalavps.com/zh/resources/) / KoalaVPS 现场笔记 KoalaVPS 现场笔记 # 私有网络的控制平面。 Headscale可以协调兼容的私有网络。请保持控制平面、中继和访问策略角色的独立性。 [找到你的 VPS](https://koalavps.com/zh/vps/) ## 本文档内容 [了解协调的内容](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-1)[让注册成为有意的选择](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-2)[检查 ACL 与路由](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-3)[妥善保管恢复材料](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-4)[注册、路由和策略是独立的检查](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-5)[不要将唯一的恢复路径放在网格内](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-6)[修复控制平面身份和恢复路径](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-7)[在宣传网络之前先注册一台设备](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-8)[独立审批路由和授权](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-9)[在更改策略前先找出故障层](https://koalavps.com/zh/guides-self-host-headscale-on-a-vps/#section-10)[知识库](https://koalavps.com/zh/resources/) ## 了解协调的内容 控制平面管理节点注册并分发网络信息。数据流量可能根据连接情况使用直接对等连接或中继。运行协调器并不意味着每个数据包都经过它。 ## 让注册成为有意的选择 保护管理 API，并使用短期或适当限定范围的注册方法。移除丢失或已退役的设备。能够加入网格并不意味着可以访问所有服务。 ## 检查 ACL 与路由 在用户和节点之间应用最小权限规则。通告的子网路由和出口节点会扩大可访问网络，需要明确批准。像测试允许的流量一样仔细测试被拒绝的流量。 ## 妥善保管恢复材料 按照受支持版本的流程备份配置、状态和密钥。保留一种在网格故障时管理 VPS 的方式。在更改控制平面之前验证客户端兼容性和升级说明。 ## 注册、路由和策略是独立的检查 Headscale 协调兼容的 Tailscale 客户端；直接连接和 DERP 中继路径具有不同的网络行为。子网路由器通告一个范围，控制服务器批准它，客户端必须接受该路由。在路由节点上启用转发并保持通告范围狭窄。已批准的路由仍需要访问策略，限制谁可以使用哪个目标和端口。 - 检查控制服务器的路由列表 - 从允许的设备进行测试 - 从应被拒绝的设备重复相同测试 ``` headscale nodes list-routes ``` 官方文档：[Headscale 路由](https://headscale.net/stable/ref/routes/) ## 不要将唯一的恢复路径放在网格内 保留第二种访问服务器控制台的方式，或一条严格受限的管理员路径。测试协调器、中继或客户端不可用时会发生什么。根据已安装版本保留控制平面状态和密钥。私有网格可以简化访问，但它不应成为阻碍自身修复的未记录依赖。 ## 修复控制平面身份和恢复路径 选择一个稳定的 HTTPS 名称、一个受支持的 Headscale 版本以及兼容的 Tailscale 客户端。阅读该确切版本随附的配置示例；从不同版本复制的配置可能无法通过验证，或会静默地描述不同的策略。持久化控制平面数据库和所需的密钥。将管理用 API 保持私有，并保留一个独立的控制台或受限的 SSH 路由，这样即使网格丢失，其协调器也不会无法修复。 - 使用对公共控制平面名称有效的证书。 - 保持注册密钥短时效并限定适当范围。 - 将中继设计和 DNS 命名空间视为明确的选择。 官方文档：[Headscale 容器部署](https://headscale.net/stable/setup/install/container/) ## 在宣传网络之前先注册一台设备 按照上游说明启动服务器，并通过文档记录的注册方法注册一个测试用户/设备。确认设备到达预期的控制 URL 并以预期身份出现。在添加出口节点或子网路由前，检查客户端状态并测试一个私有服务。在直连路径不可用时，DERP 路径可保持连接；这并不表示协调器正在转发每个数据包。 - 从可以安全移除的设备和服务开始。 - 检查对等流量是直连还是中继。 - 根据所选部署保护中继和控制端点。 官方文档：[Headscale 部署参考](https://headscale.net/stable/setup/install/container/) ## 独立审批路由和授权 对于子网访问，在路由节点上启用转发，通告一个狭窄范围，在控制服务器上批准它，并确保目标客户端接受它。避免重叠网络导致返回路由不明确。已批准的路由不是访问策略：定义谁可以连接到哪个目标和端口，包括访客设备。在扩展网格之前，测试一个允许的连接和一个完全相同的被拒绝连接。 ``` # Run on the control server; syntax follows the installed release: headscale nodes list-routes # Client-side inspection: tailscale status ``` 官方文档：[Headscale 子网与出口路由](https://headscale.net/stable/ref/routes/) ## 在更改策略前先找出故障层 如果注册失败，请检查 DNS、HTTPS 和服务器 URL。如果设备加入但子网不可达，请检查通告、批准、客户端路由接受、转发和返回路径。如果只有一个服务失败，请检查其绑定地址、主机防火墙和网格策略。保留一致的数据库/配置备份，并在更改唯一控制平面之前，使用一次性客户端测试版本升级。 继续探索 ## 继续阅读。 [指南 ### 用途明确的私有隧道。 WireGuard 可以将你的设备连接到服务器或专用网络。其优势取决于正确的路由、DNS 和端点安全。…](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/)[使用场景 ### 你的私有应用之家。 运行仪表板、API 和内部工具，帮助您的项目运作，并围绕需要访问的人员设计访问权限。…](https://koalavps.com/zh/private-apps/)[指南 ### 备份的价值在于能否恢复。 围绕无法重建的数据以及服务可承受的丢失时间来设计备份。上传成功只是开始。…](https://koalavps.com/zh/backups/) 配置您的基础设施 ## 掌控一切。 按你的条件部署。 无需身份文件。完整管理员权限。原生加密货币计费。 [选择配置](https://koalavps.com/zh/vps/)