🧠 个人知识库

Tailscale跨洲际出口路由与网络测速

Properties1
tagsvps

7 min read

Tailscale 跨洲际出口路由与网络测速 (Exit Node)

本卡片记录如何在跨越半个地球（如英国到美国西海岸圣何塞）的节点之间，先测定底层加密隧道的吞吐量与打洞质量，随后安全配置强迫出口流量重定向（Exit Node）的标准作业程序（SOP）。

阶段一：测定加密隧道网络质量

为了获取最真实的隧道性能数据，必须使用网络测速工具 iperf3，并验证 P2P 直连打洞是否成功，防范流量滑入官方 DERP 中继节点。

1. 检查 P2P 直连状态 (在英国服务器执行)

获取圣何塞服务器的 Tailscale IP（此处以 100.x.x.S 代替），在英国服务器执行：

tailscale ping 100.x.x.S
  • 数据诊断：
    • direct：打洞成功，两台机器建立直连隧道（WireGuard 握手）。
    • relay：打洞失败，流量通过官方 DERP 中继，后续速度会极慢，应优先排查 NAT 防火墙规则。

2. 部署与配置测速端点

在两台服务器上安装 iperf3：

sudo apt update && sudo apt install -y iperf3
  • 在圣何塞服务器启动服务端： 
    iperf3 -s
  • 在英国服务器发起 4 线程并发压测： 
    iperf3 -c 100.x.x.S -P 4 -t 10
    注：由于系统已部署了 TCP BBR 算法，并发吞吐量表现将明显优于传统的 Cubic 算法。

阶段二：配置圣何塞为出口节点 (Exit Node)

测速达标后，在圣何塞节点开启系统路由转发，允许其代理英国服务器的全部出站公网流量。

1. 开启系统级 IP 转发 (在圣何塞执行)

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/tailscale/sysctl.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

2. 宣告出口节点身份

sudo tailscale up --advertise-exit-node

3. 云端控制台授权

  1. 登录 Tailscale 管理控制台。
  2. 找到圣何塞节点，点击右侧的三个点 (⋮) -> Edit route settings…。
  3. 勾选 Exit node 并保存。

阶段三：将英国流量强制路由至圣何塞

1. 启动全局接管 (在英国执行)

sudo tailscale up --exit-node=100.x.x.S

2. 闭环验证

在英国服务器上，检查当前的公网出口 IP 是否已变为圣何塞的物理公网 IP：

curl ifconfig.me

⚖️ 跨洲际出口路由风险评估与退路 (Inversion)

  • 物理延迟 (Latency)：从英国到美西圣何塞，物理光纤传输距离决定了 Ping 延迟不可能低于 130ms（通常在 140ms-160ms 之间）。这对于终端 SSH 操作会有轻微的跟手延迟，但对于后端自动化数据拉取无影响。
  • 防火墙联动盲区：一旦挂载出口节点，英国服务器的全部出站（包括 apt update 和 chrony 时间同步）都将走圣何塞出口，需警惕圣何塞 VPS 厂商的流量审计或超额限速。
  • 紧急撤回方案（安全阀）： 如果挂载后网络彻底瘫痪，无需慌张，在英国服务器执行以下命令即可瞬间切断重定向，恢复本地公网网卡路由： 
    sudo tailscale up --exit-node=

四、 进阶：使用 Tailscale 原生 SOCKS5 代理定向加速飞书流量

对于跨国 VPS，如果直接设置全局出口节点（Exit Node）会导致其他业务（如美股行情拉取）路由绕远路，且有失联风险。最佳方案是仅让飞书 API 流量通过 Tailscale 内部网络走亚洲节点（如新加坡 100.90.33.29）的 SOCKS5 代理中转。

1. 在亚洲中转节点启用 Tailscale SOCKS5 代理

在你的亚洲节点（新加坡/日本）服务器上，修改 Tailscale 守护进程的环境变量配置：

sudo nano /etc/default/tailscaled

在文件中追加或修改 TS_SOCKS5_SERVER 变量，绑定到该节点的 Tailscale 内网 IP 和指定端口：

TS_SOCKS5_SERVER="100.90.33.29:1080"

重启服务以应用配置：

sudo systemctl restart tailscaled

注：该端口仅暴露在 Tailscale 安全虚拟内网中，公网无法探测，无需担心越权和端口暴露风险。

2. 英国服务器 Python 运行环境依赖补齐

由于 Python 原生网络库默认不识别 SOCKS 代理，必须在对应的虚拟环境中安装协议支持库：

# 针对 requests 库：
pip install pysocks
 
# 针对 clbot 所使用的 aiohttp 库：
pip install aiohttp-socks

3. 代码级代理引入规范 (必须使用 socks5h://)

在代码中配置代理时，协议头必须为 socks5h://。这能确保 DNS 域名解析在新加坡/日本代理端（而非英国本地）进行，直接获取飞书在亚太的最优 Anycast 路由。

  • requests 库调用示例：

    import requests
proxies = {
    "http": "socks5h://100.90.33.29:1080",
    "https": "socks5h://100.90.33.29:1080"
}
response = requests.get("https://open.feishu.cn", proxies=proxies, timeout=5)

  • aiohttp 库（clbot）调用示例：

    from aiohttp_socks import ProxyConnector
import aiohttp
 
connector = ProxyConnector.from_url("socks5h://100.90.33.29:1080")
async with aiohttp.ClientSession(connector=connector) as session:
    async with session.get("https://open.feishu.cn") as resp:
        print(resp.status)

相关链接

Graph View

Backlinks