昨天看到 CVE-2026-98432 相关消息后，有点不放心，昨晚连夜把所有服务器的管理端口都收起来了，统一通过 Tailscale 管理。
折腾完又想到一个问题：
如果 VPS 自己被入侵了，攻击者会不会顺着 Tailscale ，继续访问我家里的 Mac 、NAS ，甚至其他服务器？
毕竟这些设备都在同一个 Tailnet 里，还是得做一下隔离。
顺手做了几项调整：
1. 给 VPS 单独分组
给 VPS 设置独立的 tag:vps，和自己的 Mac 、手机等设备区分开，避免权限混在一起。
2. 收紧访问权限
通过 ACL / Grants 控制访问范围，只允许可信设备访问 VPS 必要的端口，默认拒绝未授权访问。
3. 清理宽泛授权
检查了一遍配置，把 * → * 这种全开放规则清理掉。权限规则是累加的，留着一条宽泛规则，前面的精细限制可能就失去意义了。
4. 不给 VPS 多余的网络能力
没有给 VPS 配置 Exit Node 和 Subnet Router ，避免它承担额外的网络转发职责。
5. 关闭公网管理端口
SSH 、数据库、管理面板等端口全部收回，只保留必要的公网服务。
6. 定期检查设备
检查设备列表、授权密钥、节点状态，发现不认识的设备及时处理。
还有一个容易忽略的地方：
Tailscale 的 ACL / Grants 主要约束 Tailnet 内的访问。VPS 本机能够访问哪些网络和端口，还需要结合系统防火墙、路由策略单独限制。
这次折腾下来，最大的感受是：
组网方便了，安全边界也得跟着重新设计。
万一某台 VPS 真的失守，至少希望攻击者只能拿到这一台机器的权限，不至于顺着它把整个家庭网络都翻一遍。
记录一下，给有类似组网需求的朋友参考。
2
Select Language