Posts on water-man-site

Tailscale_funnel

Thu, 23 Apr 2026 22:47:38 +0800

Tailscale Funnel

超级黑科技

不需要复杂的反向代理配置
不需要花钱注册域名
不需要进行备案
不需要任何的公网ip
直接把自己的服务免费搬上公网

这个是tailscale 的 beta 服务, 也就是还在测试阶段，现在完全免费，跑满带宽

nginx + tailscale funnel 一键配置

只需要一个命令, 可以把nginx监听的80端口流量全部代理到公网上

nginx 配置 (监听80端口 -> 本地 http://localhost:80/)

server {
	listen 80; # 有这一行就不需要调整
	listen [::]:80;

	server_name localhost 127.0.0.1

	location / {
        root /var/www/html;
        index index.html index.htm index.
	}
}

tailsacale 配置

sudo tailscale funnel --bg --set-path / http://localhost:80

这条命令由几个关键部分组成：

tailscale funnel：核心指令，通知 Tailscale 创建一个从公网到你本地服务的加密隧道，并提供一个以 ts.net 结尾的固定域名

–bg：后台运行。加上它，关闭命令行窗口后服务也不会中断
–set-path /：设置访问路径为根路径 /。这意味着访问你的域名时，流量会被直接转发到后端服务，而不添加任何子路径
http://localhost:80：指定了流量的最终目的地，即你本地正在监听的 80 端口的 HTTP 服务
Funnel 负责处理公网入站流量并自动完成HTTPS加密，再通过安全的隧道将请求转发给你指定的本地服务用户访问时，只能看到 Funnel 的入口，无法感知后端服务的真实细节。

基本介绍

tailscale funnel 并不是自己起一个服务，它的作用是反向代理

什么是反向代理 ?

反向代理就是不暴露服务器真实端口的一种手段，客户端只需访问特定的域名，反向代理的服务就会把流量转发到对应的端口, 也就是起一个中间人的作用. 比如 https 的端口固定在443, 却可以实现很多服务，本质上就是反向代理在工作, 比如反向代理中的规则是 /api -> 8000, 也就是客户端访问域名/api，之后，就会向服务器上的8000端口发送请求并处理业务逻辑
tailscale funnel 需要什么条件才能起作用 ?

你的服务器端口(即使没有公网ip也行)必须要在监听状态，为了实现这一点，你可以使用诸如 python, node 或者其他的方法, 这里介绍最容易的python (毕竟所有的linux都自带)

# 这里做一个静态路径托管的实例

# 来到你需要托管的目录路径下 常用的是 /var/www/html/ 但是你可以在任何一个地方起服务
cd path/to/your/dict/

python -m http.server 8000 # 开放8000端口暴露当前目录下的文件, 也就是静态托管

这里做完之后，我们就可以通过 http://localhost:8000/ 来访问这个文件夹下的东西了，如果你有index.html 的话，会直接显示相应内容

tailscale funnel 如何启动 ?

你需要先进行两个认证

# 直接输入这个命令， 如果尚未认证会自动弹出 网址让你认证， 你直接 ctrl 然后鼠标点就可以了
sudo tailscale funnel 8000

认证完成之后应该没有任何变化，这个时候 ctrl + c中断这个命令，重新执行, 直到所有认证完成

你会看到这样的画面, 这没有问题

当你做完所有的认证再次重启服务之后，你会看到这样的画面(注意这个过程中不要关掉python的http本地服务)

这里带https协议的这个网址， 全世界都可以访问, 当然前提是你的python后端没有问题

进阶用法

后台静默运行(当然也可以使用tmux来替代，只是这个自带的参数比较简单)

sudo tailscale funnel --bg 8000 # 在后台代理8000这个端口， 关掉这个终端之后， 服务不会终止

需要注意的是， 你的python服务很可能会因为你关掉终端而终止， 所以如果你有长期跑服务的需求， **建议使用tmux来保住进程**

- 查看 tailscale funnel 状态
  
  ```bash
  # 如果你使用的是后台的运行的话， 这个还是很实用的
  sudo tailscale funnel status
  # 会显示你代理的端口和具体的https网址

停止反向代理
```
sudo tailscale funnel off
```
清空所有已经配置的规则
```
sudo tailscale serve --reset
```

路径转发 (最常用)

# 制定转发规则
sudo tailscale serve /api http://localhost:8080
sudo tailscale serve / http://localhost:3000
# 开启公网的服务
sudo tailscale funnel on

这个时候，别人可以通过你的网址加上路径来访问不同端口的服务

两大原则

Funnel 必须指向本地运行的端口
必须先启动服务，再开Funnel

日常三步走

开启python或者其他的端口监听服务

建议用 tmux 保住服务

# tmux

python -m http.server 8000 --bind 127.0.0.1 # 这里建议绑定 回环防止直接暴露端口到局域网

开启funnel

sudo tailscale funnel 8000 # 反向代理8000端口

查看公网地址
```
sudo tailscale status
```

Tailscale_base

Wed, 22 Apr 2026 19:10:51 +0800

Tailscale 基础教程

tailscale 是什么 ?

背景知识: 在现代网络体系中,因为ipv4的数量有限和网络安全的问题,普通的PC之间大多采用NAT(网络地址转换)进行交流,但是这样有个问题，当PC之间的交流必须依赖NAT的时候，两个普通PC(也就是没有公网ipv4的个人电脑)是没有办法相互联系的.现在使用的诸多应用或者软件，都是通过 C(client)/S(server) 架构进行工作的(比如微信, 有一个中央服务器，A 和 B两台PC都连接这个有公网ip的中央服务器，然后所有数据都存储在服务器上，由此进行交流).
tailscale 则实现了两个节点的直接交流，主要使用 WireGuard 加密算法，传输的流量的具体内容不会被中间人攻击(除非你自己的私钥泄漏了，那谁也保不住你). tailscale通过官方的中继服务器，将两个PC连接起来，这个过程叫做 NAT 穿透(当然是针对ipv4的), 如果你的电脑有公网ipv6, 就可以直接直连而不用做NAT打洞了.
大概的工作原理: A -> 中继服务器 -> 服务器根据A的请求来推断出A对应的位置(也就是A所在的网络和A具体是局域网的哪个设备), 之后，如果有一台 B 要来找 A, 服务器发现记录里面有A的位置 -> 发送给B -> B 给 A 发送数据包 -> A 也知道了 B 的位置。

由此， A 和 B这两台设备就实现了 “直连”, 注意这里的直连并不是说可以没有中间媒介就直接通信，而是说两台设备可以直接相互发送信息，而中间自然要经过诸如路由器，交换机之类的东西，还有网线, 但是这个过程中的流量是加密的，即使是官方的服务器也不能破解你的数据包.

tailscale 能干什么 ?

这是重头戏，当你:

家里有一台老设备，可以24小时通电运行，并且有网络
或者你有那种放在实验室或者随便哪个有电有网的地方的机器

如果你符合上面的条件，恭喜你可以用tailscale搭建一个私人(或者属于家庭的)服务器

所有的服务都可以跑在你的老旧或者无头服务器上面

可以用来

当家庭的网盘 (速度不限，容量取决于你自己配置的硬盘)
个人的工具小网站 (比如说可以部署一个 siyuan 笔记)
真正学习远程linux运维和相关的网络配置
部署好玩的项目让家里人使用(只要把他们的设备也加入到你的tailnet中就可以了)
硬件远程开发，部署，监控(不需要公网ip)
跟好友组建一个属于你们的网络，可以一起在这个网络里面玩游戏，聊天等，所有的数据都不上中心服务器， WireGuard 加密保证了你们的秘密对话不会泄漏

如何上手 ?

tailscale 是开箱即用的，不需要配置任何的端口，代理或者其他的东西, 你需要做的只有两件事

打开你的 linux 服务器并用官方的脚本进行安装并启动

curl -fsSL https://tailscale.com/install.sh | sh
tailscale up

上面一步做完之后就会出现一个链接，用你的浏览器打开并选择一个方式登录

这一步做完之后，你就创建了一个属于自己的网络，你可以往这个网络里面添加其他的设备，并进行ssh连接, 网络访问等

ssh秘钥过期了怎么办 ?

只要在 tailscale console 里面配置好了ACL规则，保证你的电脑有ssh的权限，就可以通过下面的命令重置秘钥，然后就可以顺利ssh了

ssh-keygen -R your-server-ip

Tailscale_nginx_https_config

Tue, 21 Apr 2026 23:08:50 +0800

nginx + tailscale + https 配置教程

清理apache2(如有)

sudo systemctl stop apache2
sudo apt remove apache2
sudo apt autoremove

安装nginx 并启动

sudo apt update && sudo apt install nginx -y
sudo systemctl enable --now nginx
sudo systemctl status nginx

申请tailscale https 证书

需要先在tailscale的后台的dns界面enable https

然后在机器上面申请证书

sudo tailscale cert \
--cert-file /etc/ssl/certs/你的设备名.你的tailnet名.ts.net.crt \
--key-file /etc/ssl/private/你的设备名.你的tailnet名.ts.net.key \
你的设备名.你的tailnet名.ts.net

这里的 –cert-file 后面跟着公钥的目标地址, –key-file 后面跟着私钥的目标地址

一定要把私钥的权限设置为 600

sudo chmod 600 /etc/ssl/private/你的设备名.你的tailnet名.ts.net.key

接下来配置站点文件

先创建然后打开编辑

sudo touch /etc/nginx/sites-available/tailscale
sudo vim /etc/nginx/sites-available/tailscale

然后粘贴下面的内容并对必要的部分进行修改主要修改的部分:

将mydevice.example.ts.net 换成完整域名，例如 debian.tailb69be3.ts.net
配置一下私钥和公钥的地址
- ssl_certificate /etc/ssl/certs/mydevice.example.ts.net.crt;
- ssl_certificate_key /etc/ssl/private/mydevice.example.ts.net.key;

# 文件路径: /etc/nginx/sites-available/tailscale
# 假设你的 Tailscale 设备名为 "mydevice"，tailnet 名为 "example.ts.net"
# 则完整域名为: mydevice.example.ts.net

# ------------------------------------------------------------
# 1. HTTP 服务：将所有请求重定向到 HTTPS
# ------------------------------------------------------------
server {
    listen 80;
    listen [::]:80;                     # 支持 IPv6
    server_name mydevice.example.ts.net;  # 请修改为你的 Tailscale 域名

    # 可选：如果需要处理 Let's Encrypt 验证等特殊路径，可以单独放行
    # location ^~ /.well-known/acme-challenge/ {
    #     root /var/www/html;
    # }

    # 所有其他请求永久重定向到 HTTPS 的相同 URI
    return 301 https://$host$request_uri;
}

# ------------------------------------------------------------
# 2. HTTPS 服务：提供网站内容或反向代理
# ------------------------------------------------------------
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name mydevice.example.ts.net;  # 请修改为你的 Tailscale 域名
    http2 on;

    # ---------- SSL 证书配置 ----------
    # 使用 tailscale cert 命令生成的证书路径（请修改）
    ssl_certificate     /etc/ssl/certs/mydevice.example.ts.net.crt;
    ssl_certificate_key /etc/ssl/private/mydevice.example.ts.net.key;

    # 强化的 SSL 配置（推荐）
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers off;
    ssl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;

    # ---------- 安全头（可选但推荐） ----------
    add_header Strict-Transport-Security "max-age=63072000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;

    # ---------- 静态网站配置（按需修改） ----------
    root /var/www/html;   # 请修改为实际的网站根目录
    index index.html index.htm;

    # ---------- 通用 location 处理 ----------
    location / {
        try_files $uri $uri/ =404;           # 先尝试文件，找不到返回 404
    }

    # ---------- 可选：反向代理到本地后端（如果你需要代理，请取消注释并注释掉上面的 location /） ----------
    # location / {
    #     proxy_pass http://127.0.0.1:8080;            # 请修改为你的后端地址
    #     proxy_http_version 1.1;
    #     proxy_set_header Upgrade $http_upgrade;
    #     proxy_set_header Connection "upgrade";
    #     proxy_set_header Host $host;
    #     proxy_set_header X-Real-IP $remote_addr;
    #     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    #     proxy_set_header X-Forwarded-Proto $scheme;
    # }

    # ---------- 静态资源缓存（优化性能） ----------
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff2?|ttf|eot)$ {
        expires 30d;
        add_header Cache-Control "public, immutable";
    }
    # ---------- 访问限制（可选，仅允许 Tailscale 内网访问） ----------
    # 注意：Tailscale 证书本身已是私有网络认证，如需额外限制可启用以下配置
    # allow 100.64.0.0/10;   # Tailscale 使用的 CGNAT 地址段
    # deny all;
}

启用站点 (使用软链接)

sudo ln -sf /etc/nginx/sites-available/tailscale /etc/nginx/sites-enabled/

然后检查是否有错误并重载nginx

sudo nginx -t && sudo systemctl reload nginx

访问测试

随便放一个index.html 文件在 /var/www/html/ 路径下，并更改权限

sudo mv index.html /var/www/html/
sudo chown www-data:www-data /var/www/html/index.html

或者可以放目录

sudo mv dist /var/www/html/
sudo chown www-data:www-data -R /var/www/html/dist

然后就可以通过https://mydevice.example.ts.net/ 来访问你的这个机器了，静态http网页的配置就全部结束了使用https://mydevice.example.ts.net/dist/来访问这个目录(如果有index.html会优先访问)

Hugo_usage

Tue, 21 Apr 2026 19:36:14 +0800

Hugo 介绍

hugo 是一个轻量化的静态网页生成工具, 自动读取你的markdwon文件并生成对应的静态文件

作用

写个人 blog
记笔记
记录项目 (当然可以附上访问链接)
记录一些容易忘记却又经常用到的小知识

用法

先下载hugo

# 从官方的网址拉取最新版 (推荐, 当然可以使用包管理器)
wget https://github.com/gohugoio/hugo/releases/download/v0.160.1/hugo_extended_0.160.1_linux-amd64.tar.gz

# 解压到你放应用的地方
# 我这里就在家目录里面创建一个 .applications
mkdir -p ~/.applications
tar xzvf hugo_extended_0.160.1_linux-amd64.tar.gz

# 解压之后会出三个东西
# hugo
# README.md
# LICENSE
# 这里的hugo就是可执行文件， 把这个拿了就行
mv hogo ~/.applications/

# 然后软链接到环境变量里面的目录 (我这里用 /usr/local/bin)
ln -s ~/.applications/hugo /usr/local/bin/hugo

#这个时候用命令验证一下链接是否成功
which hogo

# 如果输出是
/usr/local/bin/hugo 就没问题了

使用 hugo 新建一个文件夹，会自动完成初始化

# 命名随意， 我这里用 my-blog 举例
hugo new site my-blog

# 进入文件夹
cd my-blog

然后git初始化，开始装主题

# 这一步是在 my-blog  目录下执行的
git init

# 安装 Stack 主题 (当然可以自己选择其他的)
git submodule add https://github.com/CaiJimmy/hugo-theme-stack.git themes/hugo-theme-stack

删除默认的配置文件, 然后新建一个 hugo.yaml

rm hugo.toml
touch hugo.yaml

# 用vim打开编辑
vim hugo.yaml

下面的内容直接粘贴进去，根据需要修改, 这里的目录配置可以自定义

baseURL: /
languageCode: zh-cn
title: 我的成长与项目记录
theme: hugo-theme-stack

paginate: 5
enableInlineShortcodes: true
enableRobotsTXT: true

markup:
  goldmark:
    renderer:
      unsafe: true

outputs:
  home:
    - HTML
    - JSON

params:
  author: 你的名字
  description: 记录大学成长、项目实战、学习笔记
  defaultTheme: auto
  displayCategories: true
  displayTags: true
  search:
    enable: true

menu:
  main:
    - identifier: home
      name: 首页
      url: /
      weight: 1
    - identifier: posts
      name: 文章
      url: /posts
      weight: 2
    - identifier: projects
      name: 项目
      url: /projects
      weight: 3
    - identifier: about
      name: 关于我
      url: /about
      weight: 4

用 hugo 创建文件并初始化

hugo new posts/index.md
# 然后就会自动在 content/posts 文件夹下创建一个 index.md
# 用vim或者其他东西打开
vim content/posts/index.md

配置这个 index.md 开头的toml 配置

date = '2026-04-21T19:36:14+08:00'
draft = true
title = 'Hugo_usage'
image = './pictures/cover.png'

这里的 image 是自定义的，按照相对路径来引用就行了

然后就是开启本地预览看看效果 (bash)

hugo server -D 
# 会出现一个网址， 直接打开就看到效果了

修改成自己想要的样子之后, 就是用hugo 生成静态网页了

# 注意我们默认的配置里面有一行 draft = true

# 直接使用这个命令， draft = true 的文件会被忽略
# 在项目根目录执行 
hugo

# 如果想要把 draft = true 也包含进来, 使用 
hugo -D

将public/文件夹拷贝到你的服务器上托管

# 假设你已经复制整个文件夹到服务器上了

# 如果你配置了 apache 或者 nginx, 默认目录在 /var/www/html/
mv public/* /var/www/html/ 

# 注意要赋予可读权限或者直接改称 www-data 所有
sudo chown www-data:www-data /var/www/html/*

接下来访问你的域名就可以了