外观
访问设备
接入网络之后，最常用的三件事：找到设备、访问设备、理解为什么有时连不上。
用网络名访问
每台设备接入后会得到一个形如 设备名.mesh.internal 的网络名（mesh.internal 是你们租户的 base_domain，可在控制台「设置」页查看）。
sh
# SSH（网络里的任意一台设备）
ssh myuser@nas.mesh.internal
# Ping
ping laptop.mesh.internal用虚拟 IP 访问
每台设备还有一个 100.x.y.z 的虚拟 IP（Tailscale 局域网地址）：
sh
tailscale ip -4 # 查看本机
ping 100.101.102.1 # 访问别的设备| 你想要的 | 用哪个 |
|---|---|
| 记不住 IP、想用名字 | 网络名 设备名.mesh.internal |
| 脚本 / 配置里要稳定的地址 | 虚拟 IP 100.x.y.z |
两者都能在现代系统上直接使用，因为它们同时绑定在 Tailscale 虚拟网卡上。
设备间访问的默认规则
- 同一个租户的成员设备之间：默认互通（初始 ACL 为
autogroup:member⇄autogroup:member）； - 更细的规则（只允许某组访问某 tag、某端口）由管理员在「访问控制」里配置；
- 子网路由背后的设备（如
192.168.1.x）：需要管理员批准路由并配套放行规则， 仅靠「成员互通」默认规则覆盖不到。
为什么「连不上」？
按顺序检查：
- 在线状态：控制台「设备」页看对方的设备是否在线（
tailscale status也能看）； - 登录状态：对方的设备是否「已登出」（
tailscale status里登出设备显示过期）； - 访问规则：你们之间是否被 ACL 限制（「访问控制 → 总览」页会标出问题）；
- 路由/出口：目标如果是子网背后或出口，确认「路由」页已批准， 且你是 Linux / macOS 命令行的话已执行
tailscale set --accept-routes（否则子网路由不会安装到本机）； - 中继：双方完全无法打洞时，确认「设置」页里至少选中了一个中继区域。
快速检查命令
sh
tailscale status # 设备列表与在线状态
tailscale ping 对端名 # 检查到对端的连通性（会显示直连 / 中继）
tailscale netcheck # 检查本机网络环境（NAT 类型、延迟）
tailscale debug prefs # (故障时) 查看当前偏好tailscale ping 的输出会明确告诉你走的是**直连（direct）**还是 中继（relay），这通常是定位慢/断的第一步。