Tailscale 为主的同名访问方案与验收

本项目记录「Tailscale 为主」的访问方案与验收结果。目标是在不修改服务端、不破坏现有 cookie 域与 SSO 的前提下，让客户端继续使用 xiejun-server.top、git.xiejun-server.top、memory.xiejun-server.top、chat.xiejun-server.top 等原域名，只把域名解析结果从公网 IP 改为 NAS 的 Tailscale IP 100.91.208.124。

可行性来自 NPM 在 .164 上监听 0.0.0.0:443，tailscale0 与 NPM 同机，因此经 tailnet 访问 100.91.208.124:443 时 SNI、证书、TLS、Authelia 门禁与 cookie 域保持一致。2026-10-31 已用匿名与带 Authelia 会话两种方式验收：公网域名与 tailnet 路径状态码一致，带同一 session 的 git、memory、chat 均可穿门禁返回 200。

当前还差两步：在 Tailscale 管理台配置 split DNS；确认后关闭不必要的公网入口，仅保留 blog 与应急入口。补充排查发现 AdGuard 需先补齐 blog/git/pan/vault/video/chat 的 DNS 重写，否则 split DNS 后仍会走公网解析。

功能

• 原域名访问：不改客户端 hub_url，解析切换为 Tailscale IP。
• 服务端零改动：NPM、证书、Authelia 与会话链路保持一致。
• 同名 + split DNS：tailnet 内设备按域名走隧道访问家中服务。
• SSO 验收：同一 authelia_session 在 tailnet 路径上仍有效。
• 可回滚：split DNS 为增量配置；NPM/FRP 配置已备份。
• 收网准备：公网仅保留 blog 与应急入口，其余只走 tailnet。

技术栈

使用 / 部署教程

以下步骤依据 2026-10-31 记录整理；Tailscale 管理台菜单名称可能随版本变化。

1. 先补齐 DNS 重写。在 AdGuard Home 配置中为 blog / git / pan / vault / video / chat 等 *.xiejun-server.top 增加指向 192.168.50.164 的重写。记录中采用 docker stop → 修改 AdGuardHome.yaml → docker start，并先备份 AdGuardHome.yaml.bak-<ts>-rewrites。完成后查询确认这些名字返回 .164，并检查原有 6 条重写未受影响。

1. 在 Tailscale 管理台配置 split DNS。进入 DNS → Nameservers → Add nameserver → Custom，填入只对 tailnet 提供解析的内网 DNS；然后在 Split DNS 中把 xiejun-server.top 指向该 nameserver。记录建议在 .164 起一个仅监听 tailnet 的 dnsmasq，把该域固定解析到 100.91.208.124。

1. 在客户端验证同名访问。保持原域名不变，确认解析到 Tailscale IP 后访问 https://xiejun-server.top。可用 curl --resolve <host>:443:100.91.208.124 做对照验证。

1. 验证门禁与 SSO。先对真实域名请求 POST /auth/api/firstfactor 获取 authelia_session，再对 tailnet IP 带同一 cookie 访问 git、memory、chat，检查是否返回 200。

1. 收网与回滚。确认无误并经确认后，关闭公网 443 上不必要的 vhost，仅保留 blog.xiejun-server.top 与应急入口。NPM/FRP 配置已备份，单条 vhost 可秒级恢复；split DNS 删除 nameserver 即可回滚。

常见问题