用了很久的Tailscale，我的部署方式最近徹底變了。以前每個(gè)LXC容器和虛擬機(jī)里都塞一個(gè)Tailscale客戶端，現(xiàn)在換成了子網(wǎng)路由器的集中式方案。這個(gè)改動(dòng)讓我的家庭實(shí)驗(yàn)室架構(gòu)簡單了不少，但也暴露出一些之前沒意識(shí)到的安全隱患。

早期折騰家庭實(shí)驗(yàn)室的時(shí)候，我喜歡在GitHub上搜羅各種開源項(xiàng)目，用虛擬機(jī)和LXC容器當(dāng)實(shí)驗(yàn)田。大部分項(xiàng)目純屬嘗鮮，真正用得上的沒幾個(gè)，所以遠(yuǎn)程訪問也不是剛需。當(dāng)時(shí)只在少數(shù)幾個(gè)容器里裝Tailscale，筆記本和NAS這兩臺(tái)物理機(jī)也裝一個(gè)，算是夠用。

這種分散部署看起來靈活，每個(gè)服務(wù)獨(dú)立可控。但問題隨著規(guī)模擴(kuò)大逐漸顯現(xiàn)：節(jié)點(diǎn)越來越多，每個(gè)都要單獨(dú)維護(hù)Tailscale實(shí)例，配置碎片化嚴(yán)重。更麻煩的是，這種"每個(gè)容器一個(gè)代理"的模式，實(shí)際上把網(wǎng)絡(luò)邊界搞得更復(fù)雜了。

切換到子網(wǎng)路由器之后，整個(gè)拓?fù)淝逦撕芏唷Ｒ慌_(tái)設(shè)備充當(dāng)網(wǎng)關(guān)，整個(gè)子網(wǎng)內(nèi)的所有節(jié)點(diǎn)共享同一個(gè)出口，不再需要逐個(gè)容器配置。管理界面里的設(shè)備列表從幾十條縮到幾條，排查連接問題也省事多了。

不過安全層面的考量比表面看起來更微妙。子網(wǎng)路由器意味著一旦這臺(tái)網(wǎng)關(guān)被突破，整個(gè)子網(wǎng)都暴露在風(fēng)險(xiǎn)中。而之前的分散部署雖然繁瑣，但單個(gè)容器淪陷的影響范圍相對(duì)有限。這種權(quán)衡沒有標(biāo)準(zhǔn)答案，取決于你的威脅模型——是更怕管理疲勞導(dǎo)致的人為失誤，還是更怕單點(diǎn)故障的連鎖反應(yīng)。

我的選擇是基于實(shí)際使用場景：家庭實(shí)驗(yàn)室里跑的絕大多數(shù)服務(wù)都是內(nèi)部工具，對(duì)外暴露的面本來就小。子網(wǎng)路由器加上適當(dāng)?shù)姆阑饓σ?guī)則，比維護(hù)十幾個(gè)分散的Tailscale實(shí)例更可持續(xù)。如果你也在用類似的工具鏈，或許值得重新審視一下自己的網(wǎng)絡(luò)架構(gòu)——有時(shí)候減法比加法更難做，但效果往往更好。