Tailscale SSH + EasyTier P2P：安全与速度兼得的异地组网方案

2026-03-08 约 1192 字预计阅读 3 分钟

https://pbs.twimg.com/media/HC4NeYKaUAAL-FJ?format=jpg&name=small

背景：为什么需要这套组合？

国内家庭宽带大多处于 NAT4（对称型 NAT） 环境，Tailscale 基于 WireGuard 的端到端加密虽然安全可靠，但它不做激进的端口扫描打洞，面对 NAT3/NAT4 时几乎无法建立 P2P 直连，只能退化为 DERP 中继（绕道海外服务器，延迟 400ms+）。

而 EasyTier 专门针对复杂 NAT 环境优化，支持端口扫描+狂发打洞，NAT3 与 NAT4 之间也能 P2P 直连（实测延迟 ~200ms，满速带宽）。但它的认证仅靠共享用户名+密码，安全性不如 Tailscale 的 Google 2FA + ACL。

折中方案：用 Tailscale SSH 守门，用 EasyTier 跑 P2P 数据通道。

一、Tailscale 搭建（安全层）

1. 安装 CLI 版本（推荐 macOS）

1
2


brew install tailscale
sudo brew services start tailscale

2. 配置用户态网络（避免与 Clash TUN 冲突）

编辑 Plist 文件，在 tailscaled 启动参数后添加 -tun=userspace-networking：

1
2
3


sudo vim /Library/LaunchDaemons/homebrew.mxcl.tailscale.plist
# 在 <string>/opt/homebrew/opt/tailscale/bin/tailscaled</string> 下方添加:
# <string>-tun=userspace-networking</string>

重启服务并登录：

1
2


brew services restart tailscale
sudo tailscale up --accept-dns=false --ssh

3. 安全加固

ACL 配置：在 Tailscale 控制台限制只有指定账号的设备可互访
关闭系统 SSH：macOS 系统设置 → 通用 → 共享 → 关闭"远程登录"（Tailscale SSH 内置独立的 SSH 服务端，不依赖系统 sshd）
Google 2FA：每次 SSH 连接需浏览器验证身份，确保只有账号持有者才能登录

4. SSH 连接验证

1
2
3


tailscale status
tailscale ssh <用户名>@<机器名>
# 首次连接会弹出浏览器验证链接，通过后即可登录

二、EasyTier 搭建（P2P 数据层）

1. 客户端安装（macOS）

1
2
3


brew tap brewforge/chinese
brew install --cask easytier-gui
sudo xattr -rd com.apple.quarantine /Applications/easytier-gui.app

2. 中转节点搭建（Linux 服务器）

1
2
3
4
5
6
7
8


# 一键安装
wget -O /tmp/easytier.sh "https://raw.githubusercontent.com/EasyTier/EasyTier/main/script/install.sh" \
  && sudo bash /tmp/easytier.sh install

# 以私密模式启动中转（仅允许相同 network-name 和 secret 的节点连接）
sudo easytier-core --private-mode true \
  --network-name <你的网络名> \
  --network-secret <你的密码>

3. 客户端连接

通过 GUI 或命令行指定你的私有中转节点地址：

1
2
3
4
5


# 这个要额外安装cli，建议通过gui设置
sudo easytier-core -d \
  --network-name <你的网络名> \
  --network-secret <你的密码> \
  -p tcp://<你的服务器IP或者域名>:11010

连接成功后，两端设备会自动尝试 P2P 打洞，打洞成功则直连，否则走你的私有中转。

三、安全使用策略

层级	工具	职责
🔐 访问控制	Tailscale SSH + ACL + 2FA	守门：只有通过 Google 验证的设备才能登录
🚀 数据传输	EasyTier P2P	跑数据：NAT3/NAT4 环境下 P2P 直连

关键安全措施：

先通过 Tailscale SSH 登录目标机器，作为配置并启动EasyTier的跳板（确认身份）
每次启动 EasyTier 使用不同的随机用户名和密码（防止凭证泄露被利用）
用完即关 EasyTier，不长期暴露

⚠️ NAT4 与 NAT4 之间极难打洞成功（随机碰撞概率极低），此场景只能依赖中继服务。

四、方案对比总结

维度	纯 Tailscale	纯 EasyTier	Tailscale + EasyTier
安全性	⭐⭐⭐⭐⭐ (2FA+ACL)	⭐⭐⭐ (共享密码)	⭐⭐⭐⭐⭐
NAT 穿透	⭐⭐ (NAT1/2可以)	⭐⭐⭐⭐⭐ (NAT3/4也行)	⭐⭐⭐⭐⭐
延迟（异地）	~400ms (DERP中继)	~200ms (P2P直连)	~200ms
部署复杂度	低	低	中

目录