Tailscale 私网

登录并加入私网

工作台左侧「浏览器」下方的「Tailscale」，用于将当前 Cage 环境作为一台独立设备加入你的 Tailscale 网络。登录状态保存在客机磁盘中，关闭面板不会断开连接。本机、手机或服务器也需要安装 Tailscale，并加入同一网络。

启动 Cage 环境，打开 Tailscale 面板，点击「连接并登录」。在打开的官方授权页面完成登录，然后重新打开 Tailscale 面板。连接成功后，可看到当前账号、网络名称、Cage 的私网地址与设备清单。网络要求设备审批时，面板显示「等待管理员批准」，由网络管理员在 Tailscale 管理台批准 Cage 后即可继续。

Debian 环境首次使用时需点击「安装 Tailscale」。macOS 和 Windows 环境随客机组件提供，已有环境可按面板提示更新环境组件。Linux 已安装的 Tailscale 也会随环境组件同步更新，设备身份和 SSH 公钥保留；尚未安装的环境继续按需安装。

设备清单显示当前网络允许 Cage 发现的设备，在线设备排在前面，支持按名称、系统或私网地址搜索。清单为空时，先检查其他设备是否加入同一网络，以及网络的设备访问规则。

使用设备上的服务

在设备旁点击「使用设备」，按服务类型选择连接方式。设备在线表示它已连接 Tailscale，服务是否可用仍取决于目标设备是否启动该服务、端口和访问权限。

Web、数据库与其他 TCP 服务

例如，服务器上的开发网站监听端口 8080：填写「服务端口」为 8080，点击「创建连接地址」。面板会给出类似 127.0.0.1:32123 的地址，在 Cage 内的应用中使用这个地址，即可连接到该设备的 8080 端口。HTTP 网站可直接点击「打开 HTTP 页面」。数据库客户端等应用填写此地址和对应端口，并按目标服务的要求认证。

这些地址只在当前 Cage 环境内生效，在宿主机打开同一个回环地址无法连接。映射不修改目标服务的登录方式。HTTPS 和其他要求目标域名与证书一致的服务，应使用下述私网代理，保留原目标域名和证书校验。

需要设备域名、HTTPS 或多个端口的应用

展开「应用访问私网」，点击「复制私网代理地址」，将其配置为 Cage 内应用的 HTTP 代理。代理支持 HTTP 和 HTTPS CONNECT，仅连接当前私网中可见的设备；请只为需要访问私网的应用配置它。该专用代理拒绝公网目标，不能用来替代应用原有的公网代理。

复制的地址包含本地访问凭据，不要分享给他人。组件进程重启后需重新复制代理地址。

Cage 使用内嵌 Tailscale 节点。SSH 已自动配置私网传输，其他应用通过本地连接地址或 HTTP 代理访问 TCP 服务。系统 VPN、任意应用直接使用私网地址、UDP、子网路由和出口节点未启用。此功能不接管宿主机的 Tailscale 或系统网络。

从 Cage SSH 到其他设备

目标设备需开启远程登录或 SSH 服务。在「SSH 连接」中填写该设备的系统用户名，点击「复制 SSH 命令」，在 Cage 终端运行。认证使用目标 SSH 服务支持的密码或密钥，Cage 不会自动导入宿主机私钥。

普通 ssh、SFTP 和使用 OpenSSH 的工具，也可使用设备的私网 IPv4、完整名称或短名称。Cage 为已发现设备维护专用的 OpenSSH 传输配置，保留用户原有规则。

从其他设备 SSH 到 Cage

仅在需要远程终端、SFTP 或编辑器连接时，展开「从其他设备 SSH 到 Cage」。将连接设备的 SSH 公钥添加到面板，私钥保留在原设备。面板接受一条公钥，不接受私钥或带有限制选项的 authorized_keys 条目。

复制面板给出的命令，在连接设备的终端运行，例如：

ssh cage@100.88.2.3

首次连接时核对并保存 SSH 服务端指纹。登录后拥有当前 Cage 客机普通用户的权限，可使用交互终端、远程命令、SFTP 和 SSH 本地端口转发。移除公钥可拒绝该密钥的新连接；断开 Tailscale 可结束已有私网连接。

这里使用标准 SSH 公钥认证。Tailscale 专用的「Tailscale SSH」身份认证需另行配置，登录 Tailscale 本身不自动授予系统 SSH 权限。

断开、退出与数据保留

「断开连接」结束私网连接与服务映射，保留登录状态、公钥和 SSH 服务端身份。重新连接沿用原设备；本地服务地址需要重新创建。「退出登录」撤销当前登录，下次连接需要浏览器重新授权，已添加的 SSH 公钥保留。

私网外层通信继续经过 Cage 的受控出口。公网 UDP 受限时，Tailscale 通过中继传输。暂停 Cage 联网、代理中断、环境停止或后台退出会影响私网连接。环境重新启动后恢复已启用的 Tailscale 身份。

设备间访问仍受 Tailscale 网络规则控制。连接到其他设备后，命令的权限和网络行为由目标设备管理。