一个机场科学上网

主题

银河录像局
锦云 机场

15. Shadowrocket 搭配 Tailscale：零基础异地组网完整教程 ​

最近，iOS 和 macOS 端的知名代理工具 Shadowrocket（俗称小火箭）迎来了一项重磅功能更新——正式内建支持 Tailscale。

Tailscale 是一款基于 WireGuard 的强大虚拟局域网（VLAN）组网工具，常用于设备互联、免公网 IP 访问内网设备（如 NAS、电脑）以及作为出口节点（Exit Node）。过去，使用 Tailscale 最大的痛点是无法与系统代理（如小火箭的 VPN 代理）共存。而如今，小火箭搭载 Tailscale，完美解决了这个问题。

在配置的过程中，有一些易踩坑的注意事项，下面我们就通过这篇图文教程，手把手教大家如何完成配置与实战应用。

一、 注册 Tailscale 与生成密钥 ​

首先，我们需要在 Tailscale 获取用于设备认证的密钥（Auth Key）。

  1. 注册/登录账号：前往 Tailscale 官网，推荐直接使用 Google 邮箱授权登录。
  2. 生成验证密钥：
    • 登录后，进入左侧的 Settings（设置）。
    • 找到 Keys（密钥）选项卡，点击生成“验证密钥”（Generate auth key）。
    • 密钥名称（Description）可以随意填写。
    • 关键步骤：务必开启 Reusable（可复用） 开关，这样你就可以在多个设备上使用同一个密钥。过期时间保持默认即可，之后我们在网页端可以将其改为永不过期。
  3. 保存密钥：点击生成后，系统会显示一长串密钥（tskey-auth-...）。请立即复制并保存在记事本中，因为该密钥只会完整显示一次。

二、 在 Shadowrocket 中配置机器 ​

获取了密钥之后，接下来在设备端（Mac 或 iOS）的小火箭中进行配置：

  1. 打开最新版的 Shadowrocket（请确保软件已更新至最新支持 Tailscale 的版本）。
  2. 在底部菜单进入 设置，找到并点击 Tailscale 选项。
  3. 在“认证密钥”输入框中，粘贴刚才生成的密钥。
  4. 点击 启用（在 Mac 和 iOS 上操作步骤一致）。
  5. 回到小火箭首页，打开全局代理的总开关。

网页端管理设备： 配置完成后，回到 Tailscale 网页端，点击 Machines（机器列表） 刷新一下，你就会看到刚刚配置的设备（比如你的 Mac 和 iOS 手机）已经上线了。

为了后续使用更方便，建议在网页端做两项设置：

  • 永不过期：点击机器名称右侧的三个点（...），选择 Disable key expiry，将密钥设置为永不过期。
  • 重命名设备：同样点击三个点，选择 Edit machine name，自定义一个好记的名字，比如将电脑命名为 Mac，手机命名为 iPhone-15。

三、 Shadowrocket 的规则与路由配置 ​

为了确保代理环境与 Tailscale 网络不冲突，必须在 Shadowrocket 中进行以下两项配置：

1. 添加代理规则 ​

Tailscale 的验证和日志服务如果不走代理，在国内直连环境下很可能连接失败。

  • 在小火箭首页选择 配置 (Config)，进入当前的配置文件，点击 规则 (Rules)。
  • 点击右上角加号（+），类型选择 DOMAIN-SUFFIX（域名后缀）或 DOMAIN-KEYWORD，策略选择 PROXY（走代理节点）。
  • 将 Tailscale 的官方网站域名和日志域名添加进去并保存（例如 tailscale.com、log.tailscale.io 等，确保相关流量走代理）。

2. 旁路路由设置（防止 SSH 冲突） ​

  • 在小火箭首页进入 设置，选择 通用。
  • 往下滑找到 TUN 旁路路由 (TUN Bypass Routing)。
  • 如果你之前没有改过这个列表，里面通常会有一个 100.x.x.x 开头的 IP 段旁路路由。我们需要将这个 100 开头的路由项删掉。因为 Tailscale 分配的内网 IP 就是 100. 开头的，如果不删掉，会导致之后无法通过 SSH 连接这台机器。

(注：iOS 手机端和小火箭 Mac 端都需要执行上述规则和路由检查操作)

四、 实战场景一：远程访问 Mac 文件与 NAS ​

组网成功后的第一个实用场景：人在外面，直接用手机流量通过内网 IP 访问家里 Mac 电脑上的文件，或者连接 NAS。

  1. Mac 端设置共享：打开 Mac 的“系统设置” -> “通用” -> “共享”，将 文件共享、屏幕共享 以及 远程登录 这三项全部开启。
  2. 手机端连接：
    • 打开 iOS 系统自带的 文件 (Files) App。
    • 点击右上角的三个点（...），选择 连接服务器。
    • 在服务器地址处，填写该 Mac 电脑对应的 Tailscale IP（可以在 Tailscale 网页端或小火箭内查看，通常是 100.x.x.x 格式）。
    • 点击连接，身份选择 注册用户。
    • 名称填写你 Mac 的用户名（如果不确定，可以打开 Mac 的终端，@ 符号前面的就是用户名），密码填写 Mac 的开机密码。
    • 勾选记住密码，点击连接。

成功！实测在手机完全关闭 Wi-Fi、只使用 5G 蜂窝数据的情况下，只要小火箭保持开启状态，就能通过内网 IP 顺畅地访问和下载电脑中的文件了。

五、 实战场景二：SSH 连接及远程控制 ​

除了单纯的文件访问，程序员或运维人员还能通过 SSH 进行终端远程控制。

以手机端知名 SSH 客户端 Termius 为例：

  1. 打开 Termius，点击右上角加号，选择 New Host。
  2. Alias (别名) 随便填。
  3. Hostname / IP address 填写这台 Mac 分配到的 Tailscale 内网 IP。
  4. 勾选 Use SSH。
  5. Username 填写 Mac 的用户名，Password 填写 Mac 的开机密码，端口默认 22 保持不变。
  6. 点击连接。

连接成功后，你就可以直接在手机上调用 Mac 终端里的 Agent 工具（如 Claude Code、Codex）来执行自动化代码任务或脚本了。当然，如果你有一台云端 VPS 并且也安装了 Tailscale，同样可以使用这种方式免密免公网直连。

六、 实战场景三：充当“出口节点” (Exit Node) ​

Tailscale 还有一个极具价值的功能：出口节点（Exit Node）。

简单来说，你可以用家里的 Mac 作为流量的出口。当你在外面用手机上网时，所有流量都会先经过加密隧道发到家里的 Mac，再由 Mac 发向互联网。此时，你手机的公网 IP 就变成了你家里宽带的公网 IP。

应用思路：

  • 家庭宽带环境模拟：如果你把一台 Mac（或旁路由）放在美国亲戚家，连着当地的家用 Wi-Fi，那么你人在国内，通过出口节点功能上网，你的手机 IP 就会被各大流媒体和风控系统识别为原生美国家庭宽带 IP，这对运营 TikTok、防止电商平台风控极具价值。
  • 低成本双端组网：购买一台具有真实住宅 IP 的 VPS（如某些原生双 ISP 的机器）加入 Tailscale 并在小火箭中设置为出口，效果同理。

总结：Shadowrocket 对 Tailscale 的原生集成，可以说是 iOS/Mac 生态科学上网与异地组网的一次完美融合。跟着教程把规则配置好，你就能享受前所未有的网络自由。