mkdir -p /home/docker/headscale/config && \
mkdir -p /home/docker/headscale/data && \
touch /home/docker/headscale/data/db.sqlite && \
wget https://github.com/juanfont/headscale/raw/main/config-example.yaml -O /home/docker/headscale/config/config.yaml
```修改相关配置文件，比如配置文件中配置 `127.0.0.1` 的话，那么就只能本机访问。这里修改为 `0.0.0.0` 那么就所有的 ip 都能访问。

a、hs的监听端口号，要和docker-compose.yaml里定义的端口一致，默认是8080
b、没有部署中继服务器，但derp部分不能删除，把enabled项设为fasle即可，否则后面headscale-webui进行overview时会出现服务器错误。-->
其中server_url还需要另外修改:`server_url`是对外访问和登录的地址，如果你需要使用域名并开启https，那么照我如下配置。如果你仅仅使用ip，那么这个地址修改为`ip+端口`的方式即可。<!--**如果是国内服务器，域名必须要备案**-->
**域名填自己的**

以前是 namespace 的概念，现在似乎改为 user 了

server {
    listen       443 ssl;
    listen  [::]:443 ssl;
    server_name  headscale.amjun.com;
    ssl_certificate  /etc/nginx/conf.d/cert/amjun.com.cer;
    ssl_certificate_key /etc/nginx/conf.d/cert/amjun.com.key;
 
    location ^~/ {
        proxy_pass http://localhost:8080/;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        proxy_set_header Host $server_name;
        proxy_redirect https:// https://;
        proxy_buffering off;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
    }
 
    location ^~/admin/ {
        proxy_pass http://localhost:5000/admin/;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
 
server {
    listen 80;
    server_name  headscale.amjun.com;
    rewrite ^(.*)$ https://$host:443$1 permanent;
}
```#### 配置web-ui

上面提示输入 apikey，这个需要 headscale 服务端生成，这里设置一个比较长的时间，根据自己的需要即可。

![img](https://trilium.88531.cn/share/api/attachments/60L1MQw1HCH7/image/655b3d15c9a50.png)
![image-20231120182150172](https://trilium.88531.cn/share/api/attachments/eMOGzstcr9IA/image/655b3340dccfd.png)
### 5、创建用户和授权密钥

headscale 个人理解是用户就是命名空间，进行网络隔离，所以需要先创建用户。

## 二、搭建Derp服务端

由于 `Tailscale` 官方的 `DERP` 服务在中国大陆地区并没有服务提供，并且使用的人也非常的多，以至于中继的体验并不好，因此可以自建一个中继服务来改善这个问题。
### 1、使用如下命令即可搭建 derp 服务器：

- 能用 443 端口尽量用 443 端口，实在不行再用别的端口；
- 默认情况下也会开启 STUN 服务，UDP 端口是 `3478`；
- 防火墙需要放行端口 12345 和 3478；
- 准备好 SSL 证书；

`derper.your-domain.com` 修改为自己的域名。设置环境变量 `DERP_VERIFY_CLIENTS` 是为了验证域名，这里考虑到有些人不一定需要所以设置为 false，如果真正自己使用还是建议设置为 true。
目前 derper 运行一段时间就会崩溃，暂时还没有更好的解决方案，只能通过定时重启来解决，比如通过 crontab 来设置每两小时重启一次容器：

配置修改后，记得重启下 nginx，这里需要使用域名或者 ip + 端口能够访问到 derp 页面。
![image-20231120185118955](https://trilium.88531.cn/share/api/attachments/9FAsjGINnsik/image/655b3a291ef3c.png)
在 `Nginx Proxy Manager` 中配置一下反向代理，这个也需要开启 `Websockets Support` ，否则客户端中会无法连接 `DERP` 服务。
如果自建了 `DERP` 服务，可以把 `Tailscale` 官方的公共服务禁用，只用自己的服务。修改 `config.yaml`
### 3. 创建derp.yaml

需要告诉 headscale 服务器我们创建的 derp 节点的地址，否则客户端不知道地址将无法使用。
如果你是按照我之前的教程搭建的 headscale，那么运行如下命令，否则需要自己注意配置文件的位置。

记得开放3478端口！！！
- `regions` 是 YAML 中的**对象**，下面的每一个对象表示一个**可用区**，每个**可用区**里面可设置多个 DERP 节点，即 `nodes`。
- 每个可用区的 `regionid` 不能重复。
- 每个 `node` 的 `name` 不能重复。
- `regionname` 一般用来描述可用区，`regioncode` 一般设置成可用区的缩写。
- `ipv4` 字段不是必须的，如果你的域名可以通过公网解析到你的 DERP 服务器地址，这里可以不填。如果你使用了一个二级域名，而这个域名你并没有在公共 DNS server 中添加相关的解析记录，那么这里就需要指定 IP（前提是你的证书包含了这个二级域名，这个很好支持，搞个泛域名证书就行了）。
- `stunonly: false` 表示除了使用 STUN 服务，还可以使用 DERP 服务。

修改 config.yaml 文件，paths 指定 derp.yaml 文件的位置，urls 下面的链接是官方提供的中继服务器，根据自己判断是否需要注释。

再次执行 `netcheck` 命令，可以看见自己搭建的 derp 节点，如果是使用国内的服务器搭建，那么一般这个服务器是最近的。

目前除了 iOS 客户端，其他平台的客户端都有办法自定义 Tailscale 的控制服务器。

|OS |是否支持 Headscale |
|:--|
|Linux |Yes |
|OpenBSD |Yes |
|FreeBSD |Yes |
|macOS |Yes |
|Windows |Yes 参考 [Windows 客户端文档](https://github.com/juanfont/headscale/blob/main/docs/windows-client.md) |
|Android |支持,参考 [这个 PR](https://github.com/tailscale/tailscale-android/pull/55) |
|iOS |暂不支持 |
### 1、Linux

#### 1.1脚本安装

#### 1.2Docker安装

docker exec tailscaled tailscale login --login-server https://headscale.amjun.com --accept-dns=false --accept-routes=false --authkey b6a9b4f4e9c3a7c7e7b9b1a3a6b9e6b7a5e7c2a1e3a0a4a1 --advertise-routes=172.21.9.0/24,172.30.1.0/24,172.26.1.0/24,172.20.2.0/23
```根据自己网络情况设置 `--advertise-routes`，我这是需要通过这台内网机器访问公司其他网络。
如果出现如下错误：
>running [/sbin/ip6tables -t filter -N ts-input --wait]: exit status 3: modprobe: can't change directory to '/lib/modules': No such file or directory
ip6tables v1.8.8 (legacy): can't initialize ip6tables table `filter': Table does not exist (do you need to insmod?)
Perhaps ip6tables or your kernel needs to be upgraded

执行以下命令：

Tailscale 官方提供了各种 Linux 发行版的软件包，但国内的网络你懂得，软件源根本用不了。好在官方还提供了 [静态编译的二进制文件](https://tailscale.com/download/linux/static)，我们可以直接下载。例如：

执行完上面的命令后，会出现下面的信息：

除了常规的 Linux 发行版之外，还有一些特殊场景的 Linux 发行版，比如 OpenWrt、威联通（QNAP）、群晖等，这些发行版的安装方法已经有人写好了，这里就不详细描述了，我只给出相关的 GitHub 仓库，大家如果自己有需求，直接去看相关仓库的文档即可。
- OpenWrt： https://github.com/adyanth/openwrt-tailscale-enabler 
- 群晖： https://github.com/tailscale/tailscale-synology 
- 威联通： https://github.com/ivokub/tailscale-qpkg 

### 3、Android

Android 客户端从 1.30.0 版本开始支持自定义控制服务器（即 coordination server），你可以通过 [Google Play](https://play.google.com/store/apps/details?id=com.tailscale.ipn) 或者 [F-Droid](https://f-droid.org/packages/com.tailscale.ipn/) 下载最新版本的客户端。[国内本地下载](https://kdocs.cn/l/cihuMda1eQPj)
安装完成后打开 Tailscale App，会出现如下的界面：
![img](https://trilium.88531.cn/share/api/attachments/DqOsL1Dd23cz/image/655b431b7855b.jpeg)
点开右上角的“三个点”，你会看到只有一个 `About` 选项：
![img](https://trilium.88531.cn/share/api/attachments/zhws38mFj6hd/image/655b432eee77e.jpeg)
接下来就需要一些骚操作了，你需要反复不停地**点开再关闭**右上角的“三个点”，重复三四次之后，便会出现一个 `Change server` 选项：
![img](https://trilium.88531.cn/share/api/attachments/BVq6sn3MNJ5H/image/655b4341297e9.jpeg)
点击 `Change server`，将 headscale 控制服务器的地址填进去：
![img](https://trilium.88531.cn/share/api/attachments/t9P5edWFOBxg/image/655b43531a1c9.jpeg)
然后点击 `Save and restart` 重启，点击 `Sign in with other`，就会跳出这个页面：
![img](https://trilium.88531.cn/share/api/attachments/xzsQP9ZKbZhg/image/655b43697f8da.jpeg)
将其中的命令粘贴到 Headscale 所在主机的终端，将 **NAMESPACE** 替换为之前创建的 namespace，然后执行命令即可。注册成功后可将该页面关闭，回到 App 主页，效果如图：

### 4、Windows

tailscale 客户端下载地址：[https://tailscale.com/download/](https://tailscale.com/download/windows)
#### 4.1 安装客户端

下载 windows 客户端并进行安装。
#### 4.2 安装注册表

访问 `https://headscale.amjun.com/windows`，可以看见配置的教程。
提示需要修改注册表，这里可以直接 `curl https://headscale.amjun.com/windows/tailscale.reg` 下载文件后，双击运行文件进行安装即可。
#### 4.3 登录

在 tailscale 的安装目录下使用 cmd 打开，输入命令：