Back

使用 Tailscale 安全访问本地 Web 应用

OpenReplay Team OpenReplay Team

Apr 3, 2026 · 2 min read

使用 Tailscale 安全访问本地 Web 应用

你正在深度开发某个功能。你的设计师需要在他们的机器上审查它。你的选择有:将一个半成品分支推送到预发布服务器、与端口转发搏斗,或者启动 ngrok 并祈祷隧道保持连接。这些方案都不太理想。

Tailscale 提供了一条更简洁的路径。本文介绍如何使用 Tailscale Serve 在设备和团队成员之间安全访问本地 Web 应用——无需打开防火墙端口或配置反向代理。

核心要点

  • tailnet 通过 WireGuard 为每台设备提供稳定的加密连接——无需静态 IP、VPN 配置或防火墙规则。
  • Tailscale Serve 将本地开发服务器暴露给你的 tailnet,自动提供 HTTPS、稳定的主机名,且无需开放端口。
  • Tailscale Funnel 在你需要与 tailnet 外部人员共享时,将访问权限扩展到公网。
  • 整个工作流程在大多数内部审查场景中可以替代预发布部署、端口转发和隧道工具。

什么是 Tailnet 以及它为何对本地开发很重要

当你在设备上安装 Tailscale 时,它们会加入一个名为 tailnet 的私有加密网络。每台设备都会获得一个稳定的 IP 地址和一个 DNS 主机名,无论你连接到哪个 Wi-Fi 网络,这些都能保持一致工作。

这是基础。你在咖啡店的笔记本电脑和在家里的台式机位于同一个 tailnet 上——它们可以通过加密的 WireGuard 隧道直接相互访问。无需静态 IP,无需 VPN 配置,无需防火墙规则。

Tailscale Serve:安全本地开发服务器的正确工具

Tailscale Serve 将本地服务(比如运行在 localhost:3000 上的开发服务器)暴露给 tailnet 内的其他设备。当你的受众是团队而非公网时,这是正确的工具。

要与团队成员共享本地 Web 应用,运行:

tailscale serve 3000

就这样。Tailscale 会通过 MagicDNS 自动配置 HTTPS 证书,并使你的应用在一个稳定的 URL 上可访问,例如:

https://your-device-name.your-tailnet.ts.net

任何安装了 Tailscale 并拥有正确访问权限的团队成员都可以从任何地方——不同的城市、不同的网络——打开该 URL,直接访问你的本地开发服务器。

Serve 为你处理的事项

  • 自动 HTTPS — Tailscale 管理 TLS 证书。没有自签名证书警告。
  • 稳定的主机名 — URL 在会话之间不会改变。
  • 无需开放端口 — 你的本地服务绑定到 localhost。没有任何内容暴露给公网。
  • 身份传播 — Tailscale 可以通过请求头(Tailscale-User-Login、Tailscale-User-Name)将已认证用户的身份转发到你的后端,这对于开发环境中的轻量级访问控制很有用。

为了安全起见,请将开发服务器绑定到 localhost(大多数框架的默认设置)。Tailscale Serve 充当安全代理层——你的应用永远不需要监听公网接口。

Tailscale Serve 与 Funnel:了解区别

这个区别很重要,值得明确说明。

Tailscale ServeTailscale Funnel
谁可以访问仅 tailnet 成员公网上的任何人
使用场景团队协作、内部审查客户演示、webhook 测试
HTTPS是(MagicDNS)是
查看者设备上是否需要 Tailscale是否

使用 Serve 与已经安装 Tailscale 的团队成员共享。使用 Tailscale Funnel 当你需要 tailnet 外部的人员(客户、利益相关者、webhook 提供商)访问你的本地服务时。

使用 Funnel 公开暴露你的应用:

tailscale funnel 3000

URL 格式相同,但流量现在可以从公网路由。请谨慎使用,仅在必要时使用。

此工作流程表现出色的实际场景

  • 响应式设计审查 — 与不同网络上的设计师共享 Next.js 开发服务器,无需部署任何内容。
  • 远程结对编程 — 团队成员在你编码时在他们的浏览器中打开你的本地应用。
  • 利益相关者预览 — 使用 Funnel 提供限时演示链接,无需启动预发布环境。
  • 移动设备测试 — 从同样在你的 tailnet 上的手机访问你的 localhost 开发服务器。

入门指南

  1. 在每台设备上下载并安装 Tailscale。
  2. 登录并确保在管理控制台中启用了 MagicDNS。
  3. 在 localhost:3000(或任何端口)上启动你的开发服务器。
  4. 在主机上运行 tailscale serve 3000。
  5. 在任何其他 tailnet 设备上打开提供的 https:// URL。

要停止服务,运行:

tailscale serve reset

总结

Tailscale Serve 消除了共享本地开发工作的摩擦。你的团队获得一个稳定的加密 HTTPS 链接。你的服务保持在 localhost 上。对于内部审查,你可以完全跳过预发布服务器。当你确实需要公网访问时,Funnel 只需一条命令即可实现。整个设置只需几分钟,无需基础设施更改——只需安装 Tailscale,运行一条命令,然后共享 URL。

常见问题

是的。Tailscale Serve 仅通过加密的 WireGuard 连接将你的本地服务暴露给 tailnet 的已认证成员。你的开发服务器保持绑定到 localhost,永远无法从公网访问。访问由你的 tailnet 访问控制(如授权或 ACL 策略)管理,因此只有授权的团队成员才能连接。

当然可以。Tailscale Serve 适用于任何监听 TCP 端口的本地服务。无论你运行的是 React 开发服务器、Django 应用、Rails 服务器还是纯静态文件服务器,你只需将 Tailscale Serve 指向正确的端口号,它会处理其余的事情。

服务的 URL 将无法访问,因为底层的开发服务器和 Tailscale 进程不再活动。Tailscale Serve 不会独立保持你的应用运行。当你重新打开笔记本电脑并重启开发服务器时,再次运行 tailscale serve 将在相同的稳定 URL 上恢复访问。

可用性取决于你的 tailnet 使用的计划。Tailscale 提供具有有限用户和设备的免费个人计划,而团队和组织可能需要不同的计划,具体取决于 tailnet 的配置方式。

Understand every bug

Uncover frustrations, understand bugs and fix slowdowns like never before with OpenReplay — the open-source session replay tool for developers. Self-host it in minutes, and have complete control over your customer data. Check our GitHub repo and join the thousands of developers in our community.

OpenReplay

More articles from OpenReplay Blog