⚠️ 给所有把 Tailscale 装在 VPS 上的朋友提个醒

昨天看到 CVE-2026-98432 相关消息后，有点不放心，昨晚连夜把所有服务器的管理端口都收起来了，统一通过 Tailscale 管理。

折腾完又想到一个问题：

如果 VPS 自己被入侵了，攻击者会不会顺着 Tailscale ，继续访问我家里的 Mac 、NAS ，甚至其他服务器？

毕竟这些设备都在同一个 Tailnet 里，还是得做一下隔离。

顺手做了几项调整：

1. 给 VPS 单独分组

给 VPS 设置独立的 tag:vps，和自己的 Mac 、手机等设备区分开，避免权限混在一起。

2. 收紧访问权限

通过 ACL / Grants 控制访问范围，只允许可信设备访问 VPS 必要的端口，默认拒绝未授权访问。

3. 清理宽泛授权

检查了一遍配置，把 → 这种全开放规则清理掉。权限规则是累加的，留着一条宽泛规则，前面的精细限制可能就失去意义了。

4. 不给 VPS 多余的网络能力

没有给 VPS 配置 Exit Node 和 Subnet Router ，避免它承担额外的网络转发职责。

5. 关闭公网管理端口

SSH 、数据库、管理面板等端口全部收回，只保留必要的公网服务。

6. 定期检查设备

检查设备列表、授权密钥、节点状态，发现不认识的设备及时处理。

还有一个容易忽略的地方：

Tailscale 的 ACL / Grants 主要约束 Tailnet 内的访问。VPS 本机能够访问哪些网络和端口，还需要结合系统防火墙、路由策略单独限制。

这次折腾下来，最大的感受是：

组网方便了，安全边界也得跟着重新设计。

万一某台 VPS 真的失守，至少希望攻击者只能拿到这一台机器的权限，不至于顺着它把整个家庭网络都翻一遍。

记录一下，给有类似组网需求的朋友参考。

手机风险比较大，电脑的话可以配置防火墙，把 Tailscale 划到公用网络，关闭大部分端口。 如果只是需要外网连回家庭内网，可以考虑在路由器上部署 Tailscale ，然后再配置转发及防火墙。不过这么做路由器性能要足够，因为是路由器承担加解密操作。

每天看 Agent 回复就已经很累了，你这种 AI 出来的文字一眼都不想多看

实在不好意思，是我没表述到位，是我考虑不周，让我给你最直白、最直接、最不绕弯子的回答：🐶 vps+tailscale 组网，一定要设置好 acl 权限，防止顺着 vps 爬进家里。

哈哈，我昨天也是做了这个操作，把 vps 隔离开来了

和你们一比，我简直就是在裸奔

昨天把我服务器里部署的 vaultwarden 感觉放到了家里的 nas,害怕密码被一锅端

我也是，改放家里了，通过代理回家

别用 ai 写帖子了，文笔没人在意的，在座各位应该都有搜索的能力

如果有重要的东西再担心， 先怎么方便怎么来吧。