前言

在远程开发、家庭实验环境（HomeLab）、本地服务部署（如 AI 应用、NAS、API 服务）越来越普及的今天，一个核心问题始终存在：

如何安全、稳定、低成本地访问内网服务，或将本地服务对外提供访问能力？

目前主流方案主要有三类：

• Tailscale
• ZeroTier
• Cloudflare Tunnel

这三种方案本质不同，适用场景也完全不同。

---

一句话理解三者：

工具	本质
Tailscale	设备组成“虚拟内网”
ZeroTier	模拟“局域网交换机”
Cloudflare Tunnel	将本地服务映射为公网访问

---

核心技术对比

维度	Tailscale	ZeroTier	Cloudflare Tunnel
核心定位	内网组网 / 设备互联	虚拟局域网 / 网络仿真	公网服务发布 / 内网穿透
网络层级	L3（IP层）	L2（以太网层）	L7（应用层）
连接方式	P2P + 中继回退	P2P + 控制节点	全部经由中转节点
是否需要客户端	需要	需要	不需要
是否支持设备互联	支持	强支持	不支持
是否支持公网访问	部分支持	不支持	原生支持
配置复杂度	低	中	低
典型用途	SSH / 内网访问 / 开发	局域网扩展 / 游戏 / IoT	网站 / API / 管理后台发布
性能特点	稳定、延迟低（直连时）	依赖网络环境，波动较大	稳定但非直连，延迟中等
自建能力	支持自建中继（DERP）	支持自建节点（Moon）	不支持完全自建

---

三种方案详解

1. Tailscale —— 现代化内网组网方案

Tailscale

Tailscale 是基于 WireGuard 构建的现代化组网方案，核心目标是让多设备快速组成一个安全的虚拟内网，实现“像在同一局域网一样访问”。

核心特点：

• 基于 WireGuard 协议，性能接近原生网络
• 自动 NAT 穿透（优先 P2P 直连）
• 支持设备身份体系（基于账号管理）
• 自动分配内网 IP 与设备名称解析（MagicDNS）

适用场景

• 远程开发环境访问（SSH / IDE）
• 多设备之间的安全通信
• 内网服务统一访问（NAS / API / Hermes）

优点

• 上手成本极低，几乎零配置
• 网络性能优秀，直连时延迟极低
• 设备管理清晰，适合工程化使用
• 安全性较高（基于端到端加密）

局限性

• 默认依赖外部中继节点（直连失败时）
• 对广播类协议支持有限
• 在复杂 NAT 网络下可能需要优化路径

---

2. ZeroTier —— 虚拟局域网与网络仿真方案

ZeroTier 是一个更底层的虚拟网络方案，它通过模拟二层以太网，实现跨地域设备像接入同一个交换机一样通信。

核心特点

• 工作在 OSI 二层（以太网层）
• 支持广播与多播协议
• 可构建复杂虚拟网络拓扑
• 支持自定义网络控制规则

适用场景

• 局域网游戏联机
• IoT 设备组网
• 需要设备发现的传统应用
• 小型私有网络拓扑

优点

• 支持底层协议（兼容性强）
• 网络模型接近真实局域网
• 适合特殊网络场景（广播 / 发现机制）

局限性

• 配置复杂度较高
• 网络稳定性依赖环境质量
• UDP 在部分网络环境中可能受限
• 调试成本高于 Tailscale

---

3. Cloudflare Tunnel —— 服务发布与公网映射方案

Cloudflare Tunnel 的核心目标不是内网组网，而是将本地服务安全地映射到公网，实现无需公网 IP 的服务发布。

核心特点

• 本地服务通过隧道连接到边缘节点
• 基于 HTTP / HTTPS / QUIC 协议
• 支持域名访问与路由管理
• 无需开放本地端口

适用场景

• Web 网站发布
• API 服务对外开放
• 内网管理后台访问
• 快速上线演示环境

优点

• 无需公网 IP 或端口映射
• 配置简单，部署快速
• 自带基础安全能力（访问控制 / 防护）
• 对外访问体验友好（域名访问）

局限性

• 非点对点连接（存在中转路径）
• 延迟不可控，依赖外部网络路径
• 不适合高频低延迟通信
• 不适用于内网设备互联场景

---

国内网络环境优化实践（重点）

在国内实际使用中，优化重点不是“更换工具”，而是降低链路复杂度与提升直连能力。

Tailscale 自建 DERP

Tailscale 在无法直连时会依赖中继节点（DERP），自建 DERP 可以显著改善国内访问体验。

核心作用：

• 替代官方中继节点
• 降低跨区域延迟
• 提升直连失败时的回退性能

工程本质：将“不可控中继”变为“可控中继节点”

---

ZeroTier 自建 Moon 节点

• 控制节点数量
• 保持设备长期在线
• 避免复杂网络拓扑

适合小规模稳定网络（3~10 台设备）

---

Cloudflare Tunnel 优化

该方案本身为托管模式，不支持完全自建替代，但可以通过架构拆分优化性能：

仅用于对外 Web 服务
内部 API 不经过 Tunnel
拆分高频与低频访问路径

---

推荐工程架构（实战方案）

实际项目中推荐组合使用，而不是单一工具：

设备访问层：Tailscale（内网互联）
        ↓
服务运行层：本地服务 / AI / NAS / API
        ↓
对外访问层：Cloudflare Tunnel（公网入口）

---

场景化选型指南

使用场景	推荐方案	说明
远程开发 / SSH / 内网访问	Tailscale	用于设备互联与内网访问，适合开发、调试、远程办公
多设备内网组网 / 私有网络	ZeroTier	适合构建虚拟局域网，支持设备发现与特殊协议场景
Web 服务 / API 对外发布	Cloudflare Tunnel	用于将本地服务映射为公网访问入口，适合网站与接口发布
AI 服务 / Hermes / 多节点系统	Tailscale + Tunnel 组合	内网通信与外部访问分离，适合工程化架构部署
局域网协议 / 老系统兼容	ZeroTier	适合广播协议、设备发现类场景（如旧应用或 IoT）