核心用法
Tailscale Skill 采用混合架构：CLI 处理本地节点操作，API 实现全网（tailnet）级管理。
本地操作（CLI）
- 状态诊断：
tailscale status查看节点连通性，netcheck检测 NAT/中继状态 - 设备连通：
tailscale ping验证直连/中继路径，up/down控制连接 - 文件传输：Taildrop 机制实现端对端加密文件收发
- 服务暴露：
serve内网共享，funnel公网暴露（HTTPS 自动证书） - SSH 访问：基于 MagicDNS 的免密钥 SSH
全网管理（API）
需配置 API Key，支持：
- 全设备清单与在线状态监控
- 设备授权/删除/标签/路由管理
- Auth Key 生成（可复用/临时节点）
- DNS（MagicDNS）与 ACL 策略配置
显著优点
1. 零配置组网：基于 WireGuard，NAT 穿透率极高，无需公网 IP
2. 安全模型清晰：
3. 混合管控灵活：CLI 适合开发调试，API 适合自动化运维
4. 生态丰富：开源客户端、多平台支持、OIDC 集成
- 所有流量端到端加密（Tailscale 中继仅转发密文）
- 支持设备级 ACL、标签策略、审计日志
潜在缺点与局限
- API 需手动配置：首次使用需生成并放置 API Key，无 OAuth 自动授权流程
- 公网暴露风险：
funnel功能若误配置可能意外暴露内网服务 - 依赖 Tailscale 控制平面：虽然流量加密，但密钥分发、节点发现依赖官方服务（可自建 Headscale 替代，但本 Skill 未覆盖）
- 脚本依赖：API 操作依赖
./scripts/ts-api.sh封装脚本，非官方工具链
适合人群
- 运维工程师：批量管理服务器/容器组网
- 开发团队：安全共享开发环境、数据库、K8s API
- 远程工作者：替代传统 VPN，访问企业内网资源
常规风险
| 风险点 | 等级 | 说明 |
|--------|------|------|
| API Key 泄露 | 高 | Key 存储于本地 JSON，需文件权限保护 |
| Funnel 滥用 | 中 | 公网暴露需配合 ACL 限制源 IP |
| 设备未授权 | 中 | 新节点需显式 authorize，Skill 支持此操作 |
| 中继性能瓶颈 | 低 | 直连失败时走 DERP，跨大陆延迟增加 |