在 MintFlow 配置中使用 Tailscale

MintFlow 2.0.0 已加入实验性 Tailscale 支持，可连接自己的 tailnet 并选择出口节点。MintFlow 2.1.0 新增 exit-node-ip 配置字段，用于保存首选出口节点。

Tailscale 功能需要有效 MintFlow Pro 权限：符合条件的 Pro 购买、有效订阅或符合条件且有效的订阅试用。Tailscale 账户及其网络权限与 MintFlow Pro 相互独立。

从浏览器登录开始

以下最小配置让普通互联网流量走直连，同时将 tailnet IPv4 地址交给 Tailscale：

[misc]
exclude-lan-networks=false

[dns]
app-routing-enabled=true
direct-dns=1.1.1.1,8.8.8.8

[l3vpns]
tailnet=type:tailscale,login-server:https://controlplane.tailscale.com,enabled:true

[routing]
CIDR,100.64.0.0/10,L3VPN,tailnet
DEFAULT,DIRECT
DNS-FALLBACK,DIRECT
  1. 新建或编辑配置，从主页的 VPN 控制添加 Tailscale VPN，或使用上述文本。本例应使用规则模式。
  2. 保存配置并启动 MintFlow VPN。必须有已启用的路由引用 Tailscale，才能在此配置中启动提供者；只添加未被使用的 VPN 条目还不够。
  3. 打开该 Tailscale VPN 的管理界面，选择在浏览器中登录。如果登录 URL 已就绪，按钮会显示打开登录页面。
  4. 在浏览器完成登录；若 tailnet 要求设备批准，也要完成该步骤。返回 MintFlow 检查状态。如果正在等待设备批准，需要 tailnet 管理员操作。
  5. 打开工具 → Tailscale，检查对等节点、路由偏好、出口节点与诊断。先使用服务的 tailnet IPv4 地址测试连接。

2.1.0 中，未认证接口在首次登录、主动登录或等待批准时可能临时直连。请检查 Tailscale 状态；此时流量尚未通过 tailnet。本例保持默认直连，也可避免登录过程依赖私有 tailnet DNS。取消、过期及退出行为见 Tailscale 常见问题。

认证KEY与配置中的秘密

管理界面也提供使用认证KEY，用于一次性认证。浏览器登录可避免将初始登录秘密保存在配置中。

自动初始登录可在 Tailscale 条目中使用 auth-key:tskey-auth-…。请视其为秘密：保存在配置文本中的密钥可能随导出或 iCloud 配置同步传播。使用适当的短期密钥，并在登录成功后，通过身份控制中的清除初始认证KEY移除它。清除初始密钥不会让已登录设备退出。

选择哪些流量进入 tailnet

MintFlow 路由选择流量；Tailscale 接受的路由与出口节点偏好决定能否承载这些流量。

要访问 tailnet 路由器发布的子网，请在 Tailscale 工具中启用接受路由，并仅将需要的子网加入配置，例如：

[routing]
CIDR,100.64.0.0/10,L3VPN,tailnet
CIDR,192.168.40.0/24,L3VPN,tailnet
DEFAULT,DIRECT

子网还必须已发布、已批准，且被 tailnet 策略允许。如果需要让重叠的私有地址范围进入隧道，不要排除局域网。

2.1.0 可在配置编辑器用 exit-node-ip 保存首选出口节点，也可通过实时出口节点控件为本设备选择。普通互联网流量需使用 DEFAULT,L3VPN,tailnet，或在简易模式选择 Tailscale 出口。节点必须发布出口功能，且当前身份有权使用。

exit-node-ip 随配置同步，在 VPN 重启或主动登录时重新应用。实时覆盖不修改配置；使用配置默认值可恢复保存的选择。没有配置默认值时，实时选择仅在本设备持久保存。接受路由仍为设备本地的实时偏好。路由修改需要编译和重启 VPN。

[l3vpns]
tailnet=type:tailscale,login-server:https://controlplane.tailscale.com,exit-node-ip:100.64.0.2,enabled:true

实验性限制

要解析对等节点名称，请在 Tailscale 接口启用从 tailnet 派生 DNS 记录（drive-dns:true），同时启用应用分流并使用 MintFlow DNS。MintFlow 从 tailnet 派生对等节点 IPv4 记录；这不会开启 Tailscale 的操作系统级 MagicDNS 解析器，也不会导入完整 DNS 配置。DNS 解析与流量路由仍然独立，应保留目标 IP 所需的路由。

  • 每份配置只能有一个活跃 Tailscale 接口；当前集成转发 IPv4 流量。
  • 不要假设与官方 Tailscale 客户端功能完全一致。当前不包含其操作系统级 MagicDNS 解析器；检查连接时请使用上述可选派生记录或 tailnet IP 地址。
  • Tailscale 访问控制、设备批准、密钥到期与出口节点可用性依然适用。
  • 与 HTTP 引擎或流量捕获组合使用时，可能出现实验性编译警告。如果不稳定，请检查诊断。
  • 模拟器可以展示设置界面，但不能运行真实数据包隧道或 Tailscale 连接。请在真实设备验证连通性。

在 Pro 试用期间体验

如果应用向你提供符合条件的订阅试用，可以激活后完成一个具体任务：访问 tailnet 服务、使用已批准的子网路由，或通过自己的出口节点浏览。请检查 App Store 显示的试用结束日期与续订条款。

Tailscale 是 Pro 功能。试用或订阅结束且没有其他有效 Pro 权限时，功能会锁定。编译时将排除 Tailscale，指向它的路由变为 REJECT，不会静默回退到直连。其他路由和免费功能仍可能可用。请检查编译报告；若需要免费配置，应主动切换受影响的出口。

恢复有效 Pro 权限后可再次使用该功能。权限到期不等于 Tailscale 退出，本身不会清除保存的身份；但 tailnet 仍可能要求重新认证。

为什么重装后可能仍已登录

MintFlow 将 Tailscale 设备状态保存在 Apple 钥匙串，而不是普通应用沙盒文件中。状态关联稳定的配置 UUID 与登录服务器。因此，删除应用不是可靠的 Tailscale 退出方式。

在同一设备重新安装 MintFlow，并恢复同一配置（例如通过已启用的 iCloud 配置同步）后，一旦有 Pro 权限，就可能继续使用钥匙串保留的身份连接。如果身份仍有效，这是预期行为。新建文本相似的配置可能产生不同 UUID，不一定复用身份。

配置同步与身份存储相互独立：钥匙串状态仅限本设备，不会通过 iCloud 配置同步复制到其他设备。第二台设备需要单独登录。重装后保留状态不是备份保证；抹掉设备、钥匙串状态丢失、主动退出或服务器端撤销授权，都可能需要重新登录。

需要退出身份时，在工具 → Tailscale的身份控制中选择退出。忘记本地身份是恢复操作，不会从 Tailscale 管理控制台删除旧节点；需要时请在那里删除或撤销该节点。

配置参考 · 常见问题

阅读本页 Markdown