Tailscale 同 WireGuard 點樣一齊用：自架服務少開 port，多留一條後備路

呢件事點解值得講

XDA Developers 作者 Korbin Brown 喺 2026 年 7 月 6 日寫咗一個好 homelab 嘅場景：屋企同時跑 Tailscale 同原生 WireGuard。佢用 Tailscale 畀家人朋友連 Immich、Jellyfin；再用一條 WireGuard tunnel 駁住屋企 server 同租返嚟嘅 VPS，主要保住 Vaultwarden 同反向 proxy。呢件事唔係大新聞，但好值得講，因為好多自架人最後都會撞到同一個位：易用同自控，兩邊都想要。順手講清楚，呢度講嘅 VPN 係私人設備遙距存取，唔係公共 VPN 或翻牆服務。

Tailscale 適合日常返屋企

香港屋企上網好多時麻煩位唔喺 NAS 本身，而係 router 同 ISP。動態 IP、雙 NAT、租屋公用 router、寬頻盒後面再插自己 mesh router，任何一樣都可以令 port forwarding 變成長期維修項目。Tailscale 嘅好處係，你裝 app、登入同一個 tailnet，佢就幫你處理 NAT traversal；官方文件亦寫明，大部分情況唔使開 firewall port。用嚟返屋企拎 NAS 檔、睇 Home Assistant、連 mini PC 上面嘅內部 app，呢種低摩擦已經夠值錢。

WireGuard 留畀關鍵通道

WireGuard 就係另一種性格。官方 quick start 由 private key、public key、peer config 講起，意思好清楚：佢好乾淨、好直接，但 key、IP、route、endpoint 全部要你自己管。呢個麻煩位，反而係佢做後備路嘅價值。假設你有一部 VPS，屋企 server 主動連出去建立 WireGuard tunnel，外面就算搵唔到你屋企 IP，都仲可以經 VPS 返入去。密碼庫、備份控制、反向 proxy、救機 SSH 呢啲入口，我會擺喺呢層，而唔會淨係靠第三方 control plane。

兩套工具要分清權限

Tailscale 易開，但最危險都係易開完就唔理。官方 ACL 文件講佢跟 deny-by-default 原則，實際做法就係唔好畀朋友、家人、同事一入 tailnet 就掃晒成個 LAN。Jellyfin 只准連 Jellyfin，Home Assistant 只准特定手機入，NAS 管理頁只准自己部 laptop 入；shared server 用 tag 分開，device approval 開住，account 嗰邊 2FA/MFA 都要開好。Tailscale 2FA 係跟你用嘅 identity provider，Google、GitHub、Microsoft 嗰邊懶就會拖累成個 setup。

少開 port 係基本功

用 Tailscale 之後，Plex/Jellyfin、Immich、Vaultwarden、NAS admin、Home Assistant 呢啲服務，預設應該收喺 private side。真係要公開，先諗反向 proxy、HTTPS、rate limit、更新節奏同 backup；唔好為咗方便就開晒 80、443、22 同 NAS 管理 port 畀外面撞。Tailscale DERP relay 只係轉發已加密流量，官方話 DERP server 睇唔到內容；但 relay 慢過 direct connection 好正常，所以影音串流如果成日經 relay，就要睇 router、firewall、UDP outbound 限制，唔好第一時間怪 app。

家用 plan 夠唔夠

Tailscale 官方價目頁而家寫 Personal plan $0、最多 6 個 user、user device 無限、3 個 ACL group、50 個 tagged resources 起步。對大部分屋企 NAS、mini PC、幾部手機同 laptop 嚟講，數字上夠用；不過公司檔案、客戶資料、多人工作室就唔應該硬塞入 personal setup。另一個小心位係 tagged resource：server、subnet router、exit node 呢類共享設備最好 tag 清楚，日後要收權限或者換機，唔會靠人肉記憶。

我會點砌

如果你屋企有 NAS、Home Assistant、Jellyfin、Git server 或自架 dashboard，我會先用 Tailscale 做日常入口：每部真係要用嘅設備裝 client，MagicDNS 開住，ACL 由窄開始，冇用嘅分享即刻收返。跟住揀一個你真係唔想斷線嘅位，例如 Vaultwarden、備份 server 或 router 管理入口，用 VPS 加 WireGuard 做第二條路。呢條路平時可以好悶，甚至一個月都唔用一次；到 Tailscale account、control plane、router 設定出事嗰日，你就知道點解要留住佢。

參考來源

• XDA Developers — I run both Tailscale and WireGuard at home, and here's why you probably should too — original report
• Tailscale pricing — 核對 Personal plan：$0、最多 6 個 user、user device 無限、50 個 tagged resources 起步。
• What firewall ports should I open to use Tailscale? — 核對大部分情況唔使開 firewall port、NAT traversal、DERP relay 行為。
• DERP servers · Tailscale Docs — 核對 DERP relay 只轉發 WireGuard 加密流量，server 睇唔到內容。
• Manage permissions using ACLs · Tailscale Docs — 核對 ACL/grants 嘅 least privilege、deny-by-default 設計。
• Best practices to secure your tailnet · Tailscale Docs — 核對 device approval 等 tailnet 安全設定建議。
• Supported SSO identity providers · Tailscale Docs — 核對 Tailscale MFA/2FA 係跟 identity provider 處理。
• Quick Start - WireGuard — 核對 WireGuard peer、public/private key 同 config 基本做法。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。