NAS 内网穿透：Tailscale 装完还慢，查这三处

有人来问 Tailscale 怎么给 NAS 用，我一般先反问一句：你家路由器的 WAN 口 IP 是多少。答不上来的人，装完大概率会撞上同一个场面——手机上两台设备都显示在线，管理后台一片绿，真去拖个文件夹，进度条就像被钉住了。

这不是谁配错了。这是它走了中继。

先说清这篇管哪一段

站内那篇NAS 远程访问的四种方案讲的是怎么选——公网加 DDNS、厂商中转、异地组网、自建隧道，比的是钱和麻烦。这篇只管其中第三种的落地：装在哪、装完怎么判断通没通、通不了是修还是换用法。选型别看这篇。

还有一件事要先分开：连不上和连上了很慢是两个问题，查的顺序几乎相反。连不上是账号、防火墙、权限；慢是链路走了中继。混在一起查，能在同一个设置页里绕一晚上。

动手前先量一件事：你家出口在谁手里

登录路由器，看 WAN 口拿到的地址，三种情况。

• 192.168.x.x、10.x.x.x、172.16 到 172.31 开头：你已经在上一层设备（光猫或上级路由）的 NAT 后面。端口映射做在你这台路由器上，等于做在门里。
• 100.64 到 100.127 开头：这是运营商级 NAT 的专用地址段。意思是这条宽带没有独立的公网 IPv4，你和一片邻居共用一个出口。
• 一个看着正常的公网地址：那你有公网 IP，走 DDNS 或 IPv6 那两条路更直接，本篇大部分内容你不需要。

再验一步：用手机流量查一次自己的公网 IP，跟 WAN 口那个对一下。不一致就说明中间还夹着一层。光猫自己拨号、路由器再拨一次，这种双层 NAT 在国内太常见了，也是「我明明映射了端口为什么不生效」的标准答案。

这一步花两分钟，能省掉后面三小时。因为后面所有预期都建立在这个答案上：有公网 IP 的人，问题在配置；在大内网里的人，问题在物理链路，配置怎么改都不会变快。

三种 NAS，三种装法，坑不一样

群晖：别再用套件中心那一版

Tailscale 官方文档写得很直白：群晖套件中心里发布的那个包已经不再支持，版本也跟不上。正确入口是去它自己的包服务器，按机型架构下 SPK 手动装。先查你的型号对应哪个架构（x86_64、armv8、armv7……），下错架构装不上，这是第一步最常见的错。

装完在 DSM7 上还有一道坎：默认只允许别人连进来，NAS 自己往外发起的组网流量走不通，因为套件没有权限创建 TUN 设备。官方给的做法是在「控制面板 → 任务计划」建一个开机触发的 root 脚本任务，脚本内容是 /var/packages/Tailscale/target/bin/tailscale configure-host; synosystemctl restart pkgctl-Tailscale.service，然后重启一次机器。

升级套件之后这段脚本要再跑一遍，忘了就退回「能连进去、出不来」的状态。这种坑不会报错，只会让你觉得某台机器忽然变笨。

DSM 防火墙如果开着，还得放行 100.64.0.0/10（掩码 255.192.0.0）。另外两条官方提醒值得记一下：从 DSM6 升 DSM7 要先卸载再重装；别在连着组网的时候升 DSM，中途可能断在半路。

飞牛：应用中心里有，装完登录就行

飞牛 fnOS 的应用中心能搜到 Tailscale，装完点登录、用同一个账号认证，就进来了，不用碰命令行。只有当你要把它当子网路由用（拿 NAS 当门，带整个 192.168.1.0/24 出去）时，才需要 SSH 进去开内核转发。

其他机器：Docker，三个条件缺一不可

威联通、TrueNAS、Unraid 这类，能跑容器就走容器，但要三个条件同时满足：host 网络模式、挂载 /dev/net/tun、给 NET_ADMIN 权限。少一个的表现都是「容器起来了、日志也正常、就是拿不到地址」。

装完先别传文件，先看三行字

它自带诊断命令，不用装第三个工具。tailscale netcheck 打出来的报告里，真正要看的就三行：

• UDP：true 还是 false。false 说明当前网络封了 UDP 出站，公司、酒店、校园网里很常见。这种情况两边基本不可能直连，只能走中继，怎么调都是慢。
• MappingVariesByDestIP。true 表示你的出口是「发往不同目标就换一个端口」的对称型 NAT，打洞难度极高；false 才是能打洞的那一类。这一行是整个报告里信息量最大的。
• DERP latency。万一走中继，会用延迟最低的那个节点。大陆没有官方节点，离得近的一般是香港、东京、新加坡，这张表里的毫秒数就是将来中继的下限。

再看 tailscale status，每台设备那一行的最后一段：写 direct 是直连，写 relay 加上一个城市代号就是走了中继。想单独确认某一条链路，用 tailscale ping 设备名，几包之后停在 direct 就是打通了，一直 relay 就是没打通。

三项放一起，结论基本就出来了。UDP 通、MappingVariesByDestIP 是 false、状态显示 direct，这条链路没问题，慢要往别处找——SMB 协议版本、硬盘、Wi-Fi 信号，都更可能。反过来，前两项里有不合格的，别在 NAS 上折腾了，问题在你和运营商之间。

打洞失败，哪些能修

能修的通常在自家这一段。

• 双层 NAT：光猫改桥接、让路由器拨号；做不到就在光猫上把 DMZ 指向路由器。删掉一层，很多「偶尔能连、偶尔不能」的毛病会自己消失。
• 路由器开 UPnP 或 NAT-PMP：只有在你家这一层是唯一一层 NAT 时才有用，前面还有运营商那层就白搭。netcheck 的 PortMapping 那一行会列出路由器支持哪几种。
• 把 IPv6 用起来：两边都有 IPv6 的时候，很多时候不用打洞也能直连。光猫、防火墙、DDNS 那三关怎么过，NAS IPv6 远程访问那篇写过了。
• 换个网络对比：同一个 NAS，在家里连是 direct、在公司连是 relay，那就跟 NAS 无关，是公司网络封了 UDP。

修不了的是运营商那一层。大内网的对称性你改不了，这时候只剩三条路：找运营商申请公网 IP（各地政策不一样，有的给有的不给）、接受中继、或者自己搭一个中继节点。

最后这条要一台有公网地址的机器。它的中继服务端是开源的，可以自己跑一个，让设备优先走它图个稳定。值不值得为这件事专门买台服务器，得看你一年在上面搬多少东西——按用途选云服务器配置那篇里有按内存和带宽算账的思路。换了是我，为了传几张照片不会去买。

中继不是不能用，是用法得换

走中继的时候，速度上限由中继节点和中间那段跨境链路决定，跟你的千兆宽带没什么关系。所以这几件事会很难受：拖几个 G 的素材直接剪、把 NAS 的共享盘挂成本地盘、看高码率的原盘。这些场景对延迟和吞吐都敏感，中继撑不住。

但这些够用：SSH 进去改配置、开 DSM 或 fnOS 的后台点几下、同步几十兆的文档、增量备份手机照片、看低码率的监控回放。差别在于要不要持续的大流量，而不是能不能连。

说句实话，多数人九成时间只是点网页和传几个文件。这种用法走中继反而省事——不用申请公网 IP，不用在路由器上开任何端口，也不用担心被扫。速度的账要按实际用途算，别拿「万一哪天要剪片」当标准。

装完最容易忘的三件事

这类工具的通病是装完就忘，因为它太安静了，不弹窗、不提示、不占资源。

一是访问策略。默认情况下网内所有设备互通。手机丢了、旧笔记本送人了，只要那台设备还在网里，它就能进你的 NAS。该收紧就收紧，至少把 NAS 单独打个标签，只允许自己的设备访问。

二是把管理端口当公网入口用。NAS 的后台页面在组网内部跑的是明文 HTTP，本来就没打算给外人看。要分享给家人，用官方的节点分享功能，也别顺手给管理员账号。

三是密钥过期。设备默认会到期要重新认证，手机和电脑会提醒你，NAS 不会——它只会某天突然失联，而你以为是它坏了。管理后台可以把单台设备的过期关掉。

顺手还有一件：装完之后，路由器上以前为远程访问开的端口映射和 UPnP 该撤掉。多留一个入口就多一个被扫的面，群晖被加密那次讲的就是这件事的代价。顺带说一句，中转方案也不是没有同类问题，QuickConnect 那类服务卡在哪一段，这篇拆过。

我为什么不推荐所有人都装

这类文章如果只讲好用，那就是广告。下面几条是我真会犹豫的地方。

• 控制面在境外，而且闭源。登录和密钥续期都要连它的服务器，偶尔会卡住需要重试。这不一定是配置错，先换个网络再试。
• 账号绑第三方身份。Google、微软、GitHub、苹果任选一个登录。个人用无所谓，公司用就是另一套合规问题。
• 升级会反复踩同一个坑。群晖上那条 TUN 脚本每次升级套件都要重跑，DSM 大版本升级要先卸再装。这些都写在官方文档里，但没人每次都会想起来。
• 免费额度是有限的。官方定价页现在写的是个人版 3 个用户、100 台设备，超出按每台每月 0.5 美元加购，以官方现价为准。家用够，别拿它跑公司。
• 同类还有一个 ZeroTier，别急着来回换。思路一样是打洞加中继，官方定价页现在写的免费额度是 10 台设备、1 个网络（早年是 25 台，已经收紧）。设备多的家用场景，它的额度反而不如前面这个。
• 它不提供公网地址。想让外部的人打开你 NAS 上的网页，它不是干这个的。要那个效果得用反向代理或者厂商自带的分享功能，那是另一种暴露面，另一篇文章的事。

三类人，三种答案

只有自己几台设备、没有公网 IP、又不想在路由器上开端口——装。这套东西就是为这个场景做的，装完确实能把「回家才能看」变成「随时能看」。

要给家人、客户开网页访问——别拿它当入口。反向代理加域名加证书，或者厂商自带的外部分享，都比把管理页塞进组网里干净。

要在外面剪片、备份几个 T——先去争取公网 IP，或者把 IPv6 打通。指望中继跑满带宽不现实，这一步不做，换哪家组网工具都一样。

最后一句：先量出口，再挑工具。路由器 WAN 口那一行地址，比任何教程都更能决定你该装什么。