Tailscale Peer Relay 配置指南：告别自建DERP

Peer Relay vs DERP 对比#

TIP

Peer Relay 使用的是原生 WireGuard UDP 协议，而非 DERP 的 HTTPS/WebSocket 封装，这是它性能更好的主要原因之一。

Step 1：在中继节点启用 Relay#

SSH 到你想要用作中继的节点，执行：

1
tailscale set --relay-server-port=40000

这会在 UDP 端口 40000 上启动 Peer Relay 服务。端口号可以自行选择，确保防火墙允许该端口的 UDP 入站流量。

TIP

如果你的中继节点在云服务商上（如 AWS、GCP），记得在安全组/防火墙规则中放行对应的 UDP 端口。

关闭 Relay 只需将端口设为空：

1
tailscale set --relay-server-port=""

Step 2：配置 ACL Grants#

启用 Relay 端口后，还需要在 Tailscale 的 ACL 策略中授权哪些节点可以使用这个中继。

打开 Tailscale Admin Console，在 ACL 文件中添加 grants 规则：

1
{
2
  "grants": [
3
    {
4
      "src": ["tag:office"],
5
      "dst": ["tag:relay"],
6
      "app": {
7
        "tailscale.com/cap/relay": []
8
      }
9
    }
10
  ]
11
}

参数说明：

• src：允许使用中继的设备（如 tag:office 标记的所有设备）
• dst：被授权作为中继的节点（如 tag:relay 标记的节点）
• tailscale.com/cap/relay：授予中继能力的 capability

IMPORTANT

src 的范围应尽量收窄。避免使用通配符 *，明确指定需要使用中继的设备标签或节点。

其他常见配置示例：

让某个节点同时作为自己的中继（适用于该节点也需要被中继的场景）：

1
{
2
  "grants": [
3
    {
4
      "src": ["my-server"],
5
      "dst": ["my-server"],
6
      "app": {
7
        "tailscale.com/cap/relay": []
8
      }
9
    }
10
  ]
11
}

按地区划分中继节点：

1
{
2
  "grants": [
3
    {
4
      "src": ["tag:asia-devices"],
5
      "dst": ["tag:asia-relay"],
6
      "app": {
7
        "tailscale.com/cap/relay": []
8
      }
9
    },
10
    {
11
      "src": ["tag:us-devices"],
12
      "dst": ["tag:us-relay"],
13
      "app": {
14
        "tailscale.com/cap/relay": []
15
      }
16
    }
17
  ]
18
}

Step 3：验证连接#

配置完成后，在客户端设备上检查连接状态：

1
tailscale status | grep peer-relay

如果配置正确，你会看到连接类型变为 peer-relay，并显示中继节点的地址和端口：

1
peer-relay 100.x.x.x:40000

之前显示 relay 的连接现在应该变成了 peer-relay，延迟和速度都会有明显改善。

静态端点#

如果中继节点位于 NAT 后面（如云服务商的 Managed NAT Gateway），Tailscale 可能无法自动发现其公网地址。这时可以手动指定静态端点：

1
tailscale set --relay-server-port=40000 \
2
  --relay-server-static-endpoints="203.0.113.10:40000"

支持同时指定多个地址（IPv4 + IPv6）：

1
tailscale set --relay-server-port=40000 \
2
  --relay-server-static-endpoints="[2001:db8::1]:40000,203.0.113.10:40000"

NOTE

静态端点适用于有固定公网 IP 的 VPS 或使用了 NAT Gateway 的云环境。如果你的节点能被 Tailscale 自动发现，不需要配置这项。

Prometheus 监控指标#

Peer Relay 节点会暴露 Prometheus 格式的监控指标，方便接入 Grafana 等监控系统：

ACL 规则建议#

• 按地理区域分组设备和中继节点（如上面的区域配置示例）
• src 范围尽量精确，只授权需要中继的设备
• 定期检查 ACL 规则，移除不再需要的授权

防火墙配置#

确保中继节点的防火墙放行了对应的 UDP 端口：

1
sudo ufw allow 40000/udp

1
sudo iptables -A INPUT -p udp --dport 40000 -j ACCEPT

1
sudo firewall-cmd --permanent --add-port=40000/udp
2
sudo firewall-cmd --reload

WARNING

只放行 UDP 端口即可，Peer Relay 不使用 TCP。同时建议限制来源 IP 为 Tailscale 的 CGNAT 地址段 100.64.0.0/10，增强安全性。