在 MintFlow 設定檔中使用 Tailscale

MintFlow 2.0.0 起提供實驗性 Tailscale 支援，可連接自己的 tailnet 並選擇出口節點。MintFlow 2.1.0 加入 exit-node-ip 設定檔欄位，讓你儲存偏好的出口節點。

Tailscale 功能需要有效 MintFlow Pro 權限：符合資格的 Pro 購買、有效訂閱，或符合資格且有效的訂閱試用。Tailscale 帳號及其網路權限與 MintFlow Pro 彼此獨立。

從瀏覽器登入開始

以下最小設定檔讓一般網際網路流量走直接連線，同時將 tailnet IPv4 位址交給 Tailscale：

[misc]
exclude-lan-networks=false

[dns]
app-routing-enabled=true
direct-dns=1.1.1.1,8.8.8.8

[l3vpns]
tailnet=type:tailscale,login-server:https://controlplane.tailscale.com,enabled:true

[routing]
CIDR,100.64.0.0/10,L3VPN,tailnet
DEFAULT,DIRECT
DNS-FALLBACK,DIRECT
  1. 新增或編輯設定檔，從首頁的 VPN 控制加入 Tailscale VPN，或使用上述文字。本例應使用規則模式。
  2. 儲存設定檔並啟動 MintFlow VPN。必須有已啟用的路由參照 Tailscale，才會在此設定中啟動提供者；僅新增未使用的 VPN 項目還不夠。
  3. 開啟該 Tailscale VPN 的管理畫面，選擇在瀏覽器中登入。若登入 URL 已就緒，按鈕會顯示開啟登入頁面。
  4. 在瀏覽器完成登入；若 tailnet 要求裝置核准，也要完成該步驟。回到 MintFlow 檢查狀態。若正在等待裝置核准，需要 tailnet 管理員操作。
  5. 開啟工具 → Tailscale，檢查對等節點、路由偏好、出口節點與診斷。先以服務的 tailnet IPv4 位址測試連線。

2.1.0 中，尚未驗證的介面在首次登入、主動登入或等待核准時可能暫時直接連線。請檢查 Tailscale 狀態；此時流量尚未經過 tailnet。本例維持預設直接連線，也能避免登入過程依賴私有 tailnet DNS。取消、到期及退出行為請見 Tailscale 常見問題。

認證KEY與設定檔中的機密

管理畫面也提供使用認證KEY，可進行一次性驗證。瀏覽器登入可避免將初始登入機密儲存在設定檔中。

自動初次登入可在 Tailscale 項目中使用 auth-key:tskey-auth-…。請將其視為機密：儲存在設定檔文字中的金鑰可能隨匯出或 iCloud 設定檔同步傳播。請使用適當的短效金鑰，登入成功後，透過身分控制中的清除初始認證KEY移除它。清除初始金鑰不會讓已登入的裝置退出。

選擇哪些流量進入 tailnet

MintFlow 路由選擇流量；Tailscale 接受的路由與出口節點偏好決定是否能承載這些流量。

若要存取 tailnet 路由器公告的子網路，請在 Tailscale 工具中啟用接受路由，並只將需要的子網路加入設定檔，例如：

[routing]
CIDR,100.64.0.0/10,L3VPN,tailnet
CIDR,192.168.40.0/24,L3VPN,tailnet
DEFAULT,DIRECT

子網路也必須已公告、已核准，且獲得 tailnet 原則允許。若需要讓重疊的私有位址範圍進入通道，請勿排除區域網路。

2.1.0 可在設定檔編輯器使用 exit-node-ip 儲存偏好出口節點，或透過即時出口節點控制為本裝置選擇。一般網際網路流量需使用 DEFAULT,L3VPN,tailnet，或在簡易模式選擇 Tailscale 出口。節點必須公告出口功能，且目前身分有權使用。

exit-node-ip 隨設定檔同步，在 VPN 重新啟動或主動登入時重新套用。即時覆寫不修改設定檔；使用設定檔預設值可恢復儲存選擇。沒有設定檔預設值時，即時選擇僅儲存在本裝置。接受路由仍是裝置本機的即時偏好。路由變更需要編譯及重新啟動 VPN。

[l3vpns]
tailnet=type:tailscale,login-server:https://controlplane.tailscale.com,exit-node-ip:100.64.0.2,enabled:true

實驗性限制

若要解析對等節點名稱，請在 Tailscale 介面啟用從 tailnet 衍生 DNS 記錄（drive-dns:true），並啟用 App 分流、使用 MintFlow DNS。MintFlow 從 tailnet 衍生對等節點 IPv4 記錄；這不會開啟 Tailscale 的作業系統層級 MagicDNS 解析器，也不會匯入完整 DNS 設定。DNS 解析與流量路由仍各自獨立，請保留目的地 IP 所需的路由。

  • 每份設定檔只能有一個使用中的 Tailscale 介面；目前整合轉送 IPv4 流量。
  • 請勿假設功能與官方 Tailscale 用戶端完全相同。目前未包含其作業系統層級 MagicDNS 解析器；檢查連線時請使用上述選用的衍生記錄，或 tailnet IP 位址。
  • Tailscale 存取控制、裝置核准、金鑰到期及出口節點可用性仍然適用。
  • 與 HTTP 引擎或流量擷取合併使用時，可能出現實驗性編譯警告。若不穩定，請檢查診斷。
  • 模擬器可展示設定畫面，但不能執行真正的封包通道或 Tailscale 連線。請在實體裝置驗證連通性。

在 Pro 試用期間體驗

若 App 提供符合資格的訂閱試用，可啟用後完成一項具體任務：存取 tailnet 服務、使用已核准的子網路路由，或透過自己的出口節點瀏覽。請確認 App Store 顯示的試用結束日期與續訂條款。

Tailscale 是 Pro 功能。試用或訂閱結束且沒有其他有效 Pro 權限時，功能會鎖定。編譯時會排除 Tailscale，指向它的路由改為 REJECT，不會悄悄改走直接連線。其他路由與免費功能仍可能可用。請檢查編譯報告；若需要免費設定，應主動切換受影響的出口。

恢復有效 Pro 權限後便可再次使用。權限到期不等於 Tailscale 退出，本身不會清除已儲存的身分；但 tailnet 仍可能要求重新驗證。

為什麼重新安裝後可能仍已登入

MintFlow 將 Tailscale 裝置狀態儲存在 Apple 鑰匙圈，而不是一般 App 沙盒檔案。狀態關聯穩定的設定檔 UUID 與登入伺服器。因此，刪除 App 不是可靠的 Tailscale 退出方式。

在同一裝置重新安裝 MintFlow，並還原同一份設定檔（例如透過已啟用的 iCloud 設定檔同步）後，只要有 Pro 權限，就可能以鑰匙圈保留的身分重新連線。若身分仍有效，這是預期行為。新建文字相似的設定檔可能產生不同 UUID，不一定重用原有身分。

設定檔同步與身分儲存彼此獨立：鑰匙圈狀態僅限此裝置，不會透過 iCloud 設定檔同步複製到其他裝置。第二台裝置需要另外登入。重新安裝後保留狀態不等於備份保證；清除裝置、鑰匙圈狀態遺失、主動退出或伺服器端撤銷授權，都可能需要重新登入。

需要退出身分時，在工具 → Tailscale的身分控制中選擇退出。忘記本地身份是復原操作，不會從 Tailscale 管理控制台移除舊節點；必要時請在該處移除或撤銷節點。

設定檔參考 · 常見問題

閱讀本頁 Markdown