Tailscale 免費版可免開 port 連屋企 NAS，但取代唔到一般付費 VPN

個標題有少少混淆，先分清兩類 VPN

XDA 作者 Korbin Brown 話，Tailscale Personal 免費版今年放寬後，佢取消咗每年 100 美元嘅 VPN 訂閱。呢個經驗有參考價值，但要講清楚：佢原先畀錢解決嘅問題，係由街外連返屋企 NAS 同 server。一般人訂閱商業 VPN，多數想隱藏公開 IP、經外地節點上網，或者應付地區限制，兩者用途其實分得好開，唔可以淨係見到「免費取代付費」就當係同一件事。

點解唔使 port forwarding 都連得到

Tailscale 會喺每部裝置建立一個私人 mesh 網絡，亦即 tailnet。裝好 client、登入帳戶後，裝置會用 WireGuard 點對點加密，協調 server 主要負責交換公開金鑰同協助裝置搵到對方，私人金鑰唔會離開本機。系統會先嘗試打通直接 UDP 連線；遇到較嚴格嘅 NAT 或防火牆，就改經 DERP server 轉送已加密封包。咁做唔使公開 NAS 嘅管理介面，亦唔使跟住動態 IP 改 DDNS，遇到 CGNAT 時尤其省事。

NAS、Home Assistant 或家用 server 可以直接裝 Tailscale 就最簡單。至於 printer、IP cam 呢啲裝唔到 client 嘅器材，就可以用一部長開裝置做 subnet router，畀你由外面連入指定內網網段。呢個功能幾方便，不過唔好貪手快就成個 LAN 全放行；應該只宣告真正要用嘅網段，再用 grants 或 ACL 限定邊個帳戶可以連邊部機、邊個 port。

免費版對一般屋企其實幾鬆動

Tailscale 而家嘅官方價目顯示，Personal 方案只限非商業用途，收費係零，最多有 6 個用戶；一般用戶裝置冇數量上限，另包 50 個 tagged resources、3 個 ACL groups，同每月 1,000 分鐘 ephemeral resources。Subnet router、exit node、MagicDNS 同基本存取控制都包括在內。幾部電腦、手機、NAS 加一兩部 Raspberry Pi 嘅屋企設定，通常未必會撞到上限，不過公司 server 或工作用途就唔應該借 Personal 方案頂住用。

Exit node 都唔等於跨區 VPN

普通情況下，Tailscale 只會接管去 tailnet 裝置或指定 subnet 嘅流量，其餘上網流量照行原本連線。你可以指定屋企一部機做 exit node，叫手提電腦喺酒店或咖啡店將全部流量加密送返屋企先出網；網站見到嘅會係你屋企寬頻 IP；外遊時如果要登入會檢查常用地區嘅服務，就可能有用。不過佢唔會免費提供一排海外出口，亦冇幫你匿名。真係想用商業節點，Tailscale 另有收費 Mullvad add-on。

冇開 port，仍然要自己守好門口

關掉 router 上面公開嘅 port，確實可以減少俾掃描器撞到 NAS 登入頁嘅機會，但風險會轉到登入帳戶、已授權裝置同存取規則。新建 tailnet 嘅預設 policy 會容許成員裝置互相連線；如果你邀請朋友入嚟睇 Jellyfin，對方帳戶或手機失守，影響範圍可能大過預期。較穩陣嘅做法係喺登入用嘅 Google、Microsoft 或其他身份供應商開 MFA 或 passkey，再啟用所有方案都有嘅 device approval，跟住收窄 grants，舊手機同唔再用嘅帳戶亦要盡快撤銷。

Tailscale 嘅加密亦唔代表速度必定理想。直接連線通常延遲低、吞吐量高；硬 NAT 或封鎖 UDP 令連線要兜 DERP 時，官方都提醒速度同延遲會差一截。遙距搬大型 NAS 檔案或串流高畫質影片之前，可以用 tailscale status 或 tailscale ping 睇清楚行緊 direct 定 relay。屋企寬頻上載、NAS 硬件同 exit node 負荷仍然係樽頸，免費服務唔會補返呢幾樣限制。

邊類人值得轉

如果你份 VPN 月費純粹用嚟連返自己屋企，Tailscale 免費版確實值得試，尤其適合唔想掂 router 設定、寬頻 IP 經常變，或者條線喺 CGNAT 後面嘅用戶。想跨區睇串流、隱藏公開 IP，或者要公司級記錄、支援同合規功能，就應該保留合適嘅付費服務。安裝容易只係第一步，正式畀家人朋友用之前，記得先收窄權限同開裝置審批。

參考來源

• XDA Developers — Tailscale's free plan replaced my $100-a-year VPN subscription — original report
• Tailscale Pricing — 核對 Personal 方案用途、6 個用戶、裝置及 tagged resources 上限，同 Mullvad add-on 收費定位。
• Tailscale Connection Types — 解釋 direct、DERP relay、Peer Relay 嘅分別、WireGuard 加密同效能限制。
• Tailscale Subnet Routers — 核對 subnet router 點樣畀外部裝置存取裝唔到 Tailscale client 嘅內網器材。
• Tailscale Exit Nodes — 核對 exit node 會接管全部上網流量，以及同一般 subnet routing 嘅分別。
• Manage permissions using ACLs — 核對新 tailnet 預設容許裝置互通，同 ACL、grants 嘅權限控制方式。
• Tailscale Device Approval — 核對所有方案都可先審批新裝置，避免登入帳戶後直接加入私人網絡。
• Tailscale Identity — 核對身份供應商、MFA、裝置金鑰同端對端加密之間嘅關係。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。