自建安全隧道 · 国内直连 · 完全可控 | 2026-03-24
之前我尝试使用 Tailscale 来实现服务器远程访问，但遇到了严重问题：
这让我不得不深入研究 Tailscale 的底层原理，以及寻找更适合国内的替代方案。
Tailscale 是一个商业产品，虽然基于 WireGuard 协议，但它依赖 Tailscale 官方的协调服务器（Coordination Server）来帮助设备建立连接。这个服务器在国外，导致国内用户体验很差。
很多人在讨论"WireGuard 和 Tailscale 哪个好"，但实际上它们不是同一个层面的东西：
| 对比项 | WireGuard | Tailscale |
|---|---|---|
| 性质 | VPN 协议/技术标准 | 商业产品/应用 |
| 协议 | WireGuard 协议（开源） | 基于 WireGuard + 私有协调 |
| 服务器 | 自建，完全可控 | 依赖 Tailscale 官方服务器 |
| DNS | 完全自控，不会劫持 | 会修改系统 DNS 设置 |
| 易用性 | 需要手动配置 | 安装即用，适合小白 |
| 成本 | 只有服务器成本 | 免费版够用，付费更强大 |
| 国内可用性 | ✅ 完全可用 | ⚠️ 依赖国外服务器，有风险 |
WireGuard 是一个 VPN 协议，就像 HTTP 是 web 协议一样。它是开源标准，任何人都可以免费使用。
Tailscale 是一个商业产品，它用 WireGuard 协议作为底层，但加入了用户体验层（自动 NAT 穿透、魔法链接、流量路由等），代价是需要连接到它的协调服务器。
WireGuard 使用非对称加密，每个设备有一对密钥：
密钥对使用 Curve25519 算法，安全强度极高。
WireGuard 在系统中创建一个虚拟网卡（如 wg0），分配一个内网 IP（如 10.0.0.2）：
wg0: flags=209
inet 10.0.0.2 netmask 255.255.255.0
peer: 10.0.0.1 endpoint 123.456.789.10:51820 所有发往这个网段的流量都会通过 WireGuard 隧道传输。
WireGuard 的连接建立过程简洁高效：
整个过程在 Linux 内核中完成，性能极高。
WireGuard 协议设计优雅，支持 UDP NAT 穿透：
与 Tailscale 不同的是：WireGuard 没有"协调服务器"的概念，纯 P2P。
Tailscale 有一个争议性很大的功能：MagicDNS。
当 Tailscale 连接时，它会：
*.tailnet.net 域名解析到 Tailscale 内网 IPTailscale 为了用户体验，做了很多"魔法"操作：
这些功能都需要 Tailscale 官方服务器参与，增加了复杂性和隐私风险。
自建 WireGuard VPN 的优势：
Windows 电脑 (WireGuard Client)
↓ UDP 包
国内云服务器 (WireGuard Server)
↓
访问 127.0.0.1:18789 (OpenClaw Dashboard)
访问 127.0.0.1:22 (SSH)# 安装 WireGuard
sudo apt update
sudo apt install wireguard -y
# 安装 qrencode（用于生成客户端二维码）
sudo apt install qrencode -y# 服务端密钥
wg genkey | tee server_private.key | wg pubkey > server_public.key
# 客户端密钥（在每台设备上生成）
wg genkey | tee client_private.key | wg pubkey > client_public.key# 创建配置文件
sudo nano /etc/wireguard/wg0.conf写入以下内容：
[Interface]
# 服务端私钥
PrivateKey = <服务端私钥>
# WireGuard 网卡 IP
Address = 10.0.0.1/24
# 监听端口
ListenPort = 51820
# 防火墙规则
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
# 客户端配置
[Peer]
# 客户端公钥
PublicKey = <客户端公钥>
# 客户端内网 IP
AllowedIPs = 10.0.0.2/32# 开启 IP 转发
echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding = 1" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p# 启动服务
sudo systemctl start wg-quick@wg0
# 设置开机自启
sudo systemctl enable wg-quick@wg0
# 查看状态
sudo wg show在阿里云控制台开放 UDP 51820 端口：
Step 1：下载 WireGuard 客户端
访问 WireGuard 官方下载页面，下载 Windows 安装包并安装。
Step 2：生成本地密钥对
在 Windows 上打开 PowerShell，运行以下命令生成密钥对：
# 生成本地私钥
$privateKey = wg genkey
# 生成公钥
$publicKey = $privateKey | wg pubkey
# 将私钥和公钥保存到文件（方便后续使用）
$privateKey | Out-File -FilePath "$env:USERPROFILE\wg_private.key"
$publicKey | Out-File -FilePath "$env:USERPROFILE\wg_public.key"
# 显示公钥（需要复制给服务端）
Write-Host "你的公钥是:"
Get-Content "$env:USERPROFILE\wg_public.key"将生成的公钥复制下来，稍后填入服务端的 wg0.conf 配置中。
Step 3：创建客户端配置文件
在 Windows 上打开记事本，创建以下配置文件，保存到 C:\Program Files\WireGuard\Config\wg0.conf：
[Interface]
# Windows 本地私钥
PrivateKey = <客户端私钥（从 PowerShell 生成的私钥）>
# 客户端内网 IP
Address = 10.0.0.2/24
# 国内首选 DNS（避免 DNS 劫持）
DNS = 223.5.5.5, 119.29.29.29
[Peer]
# 服务端公钥
PublicKey = <服务端公钥>
# 服务器地址和端口
Endpoint = your-server-ip:51820
# 流量走向：0.0.0.0/0 = 全局 VPN（推荐）；10.0.0.0/24 = 仅访问内网
AllowedIPs = 0.0.0.0/0
# 保持连接（穿透 NAT）
PersistentKeepalive = 250.0.0.0/0 = 全局翻转到服务器；10.0.0.0/24 = 仅访问内网，不影响其他流量Step 4：导入配置并连接
wg0.conf 文件连接成功后，在 Windows 上打开 PowerShell，验证是否能访问服务器内网：
# 测试能否 ping 通服务器端
ping 10.0.0.1
# 查看 WireGuard 状态
wg show
# 查看当前分配的 IP
ipconfig如果一切正常，你应该能看到 wg0 虚拟网卡获取到了 10.0.0.2 的 IP。
类似 Tailscale 的商业方案，但：
Tailscale 控制服务器的开源实现：
老牌 P2P VPN 方案：
如果只是 SSH + OpenClaw Dashboard 远程访问，现在的方案已经足够安全：
如果需要多设备组网（手机、平板、电脑同时访问内网），再考虑 WireGuard 自建。