Pangolin 對 Tailscale Funnel：分享內網服務，連結期限同登入保護差幾遠？
臨時連結、撤銷方式同自建成本，揀之前要知
原文作者 Adam Conway 由 Tailscale 轉用 Pangolin，最受落係可以直接 send 條 link 畀人開服務。不過理解成「Pangolin 有 link、Tailscale 冇」會失焦：兩邊都可以畀未裝 client 嘅人開內網 web 服務，真正分別係公開連結可唔可以獨立設期限同撤銷，以及點樣驗證訪客。呢幾樣會決定佢啱 freelance demo、家庭相簿，定只適合短時間收 webhook。
Tailscale 本身都有公開 link
一般 tailnet 存取要裝 Tailscale、登入同保持連線，Funnel 則將 HTTPS 流量由公開互聯網送到指定服務。Tailscale 官方文件寫明，收 link 嗰邊唔使加入 tailnet，亦只會接觸公開嗰個 target。Funnel URL 對全網開放，任何拎到網址嘅人都用得到。policy 入面嘅 node attribute 只管邊啲成員有權開 Funnel，訪客身份同 app 權限仍要由服務本身處理。
圖片：Pangolin 官方文件
Pangolin 多咗逐條期限同撤銷
Tailscale 現行指令可以用 off 關掉指定 Funnel，亦可以重設全部配置；官方文件冇列出逐條訪客 link 自動到期、獨立 token 或只撤銷某個收件人嘅控制。關閉時成個 endpoint 都會收起，做唔到只踢走其中一位收件人。Pangolin 每次建立 Link 都會發出 access token，可以設定到期時間，亦可以揀冇到期日；管理員刪除條 Link，連同 token 都會即時失效。只開一個週末嘅相簿或客戶 demo，呢套做法容易執手尾得多。
身份驗證要另計
按 Pangolin 官方文件，公開資源預設有平台 SSO，亦可以揀 external identity provider、指定用戶或角色、PIN、電郵一次性密碼、header auth，同埋 Shareable Link。最後嗰種係持有者憑證，收件人唔使登入，存取亦唔會向上游 app 帶入每位訪客嘅身份 header。想知道邊個入過、離職後只收走某人權限，就應該用帳戶、角色或電郵驗證。Funnel 自己冇訪客登入閘，敏感度高嘅服務要靠 app 本身認證，或者另外加身份代理。
Pangolin 自建仲有長期維護
XDA 作者話遷移用咗少過一小時，呢個只係熟手嘅單一次經驗。Tailscale Funnel 喺已有節點用 CLI 開，前置條件包括 MagicDNS、HTTPS 同 node attribute，網址亦只可以用 tailnet 嘅 ts.net domain。Pangolin 官方自建指南列明要有 Linux server、public IP、domain 同 DNS，開 TCP 80、443、UDP 51820，使用 client 時仲要 UDP 21820，再跑 Pangolin、Gerbil、Traefik 同內網嘅 Newt connector。裝好之後仲有更新、備份、監察同 VPS 保安要跟；Pangolin Cloud 可以減少自建工夫，但成本取捨亦會跟住變。
點揀要睇你分享幾耐
本身已經用 Tailscale，又只係臨時畀客戶睇 web preview、接 webhook，或者分享一個低風險服務，Funnel 幾條指令就開到，完事手動關掉，安裝成本最低。成日要畀唔同人開相簿、NAS 上某個 web app 或 home lab dashboard，又想用自己 domain、設到期日同喺 proxy 前認人，Pangolin 會順手好多。至於 SSH、router 管理頁、NAS 管理權限同整段內網存取，保留 Tailscale mesh 或 Pangolin 私人 client 通常穩陣過公開 URL，冇必要為咗統一工具硬轉晒。
公開連結要當密碼咁管
Pangolin Link 有期限同撤銷掣，唔代表條 link 洩漏咗都冇事；到期或刪除之前，任何拎到 token 嘅人都可能入到。每次只開一項資源、期限設到夠用就算、分享完即刻刪除，敏感服務再加本身嘅登入同多重驗證。靚 domain 方便辨認服務，保安仍然睇有效期、撤銷方式、訪客身份同你有冇持續更新入口。揀邊套，睇你分享幾耐、要唔要認人，同埋肯維護幾多基建。
參考來源
- XDA Developers — Switching from Tailscale to Pangolin was easy, but sharing a service with just a link is why I stayed — original report
- Pangolin Docs：Shareable Links — 核對 Link 到期、冇到期日、刪除撤銷同 access token 行為
- Pangolin Docs：Public Resource Authentication — 核對 SSO、PIN、電郵一次性密碼、角色同身份 header 限制
- Pangolin Docs：Quick Install Guide — 核對自建所需 server、domain、DNS、port 同組件
- Tailscale Docs：Funnel — 核對公開 URL、指定 target、前置條件同 Funnel 限制
- Tailscale Docs：Funnel vs. sharing devices — 確認 Funnel 訪客毋須加入 tailnet，同公開及私人分享嘅分別
- Tailscale Docs：funnel command — 核對 off、reset、背景運行同手動停用方式
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
