“

一次自己的排错记录。本文记录我如何用 FOFA 找候选节点、直接用浏览器初筛、把节点加进 Tailscale ACL，并用 tailscale ping 确认实际走了自定义 DERP。

“

公开发布前，建议将真实 IP、域名和设备名替换成示例值。下方文档 IP 仅为示例，不能直接用于连接。

起因

不久前搭建了Tailscale，解决了p2p连接的问题，但是不能稳定p2p连接，晚上的时候中继节点又非常卡，本来是研究下怎么自建DERP的，后来看到社区帖子里有人分享了通过 FOFA 搜索公开 Tailscale DERP 节点的办法，就照着试了一遍。

快速自检：FOFA 找候选、浏览器看服务提示页、把候选加到 tailnet 的 ACL，再用 Tailscale 客户端测试真实连接。

第一步：用 FOFA 搜候选

先打开FOFA

我使用的以下查询语句（可以根据需要调整 country）

body="Tailscale" && body="DERP server" && country="CN"

FOFA 会返回页面内容同时包含 Tailscale 和 DERP server 的资产。我从结果中挑地址，用浏览器打开。如果页面显示：

这说明该地址返回了 Tailscale DERP 的提示页面，可以作为候选继续测试。

但浏览器能打开页面只算初筛，不代表 Tailscale 客户端已经能通过这个节点中继。后面我就遇到了网页可访问、客户端却连不上的情况。

第二步：加入 derpMap

1. 打开 Tailscale Access Controls (ACLs) 页面
2. 在你的 ACL JSON 根节点中，找到（或添加）"derpMap" 字段：
3. 参考下面配置添加进去（IP 已替换成文档示例地址）

实际成功配置里，我填了 IPv4 和 DERPPort，设置了 InsecureForTests: true，没有填写 HostName。保存后，客户端状态显示：

active; relay "custom901"

再执行：

tailscale ping 主机名

得到：

pong from 主机名 (...) via DERP(custom901) in 42ms

这次关键证据不是网页提示，而是 `via DERP(custom901)` 并且收到 `pong`：说明这次设备间通信确实通过这个自定义 DERP 区域中继了。

参数说明

OmitDefaultRegions 用false 还是 true

我测试时用的是 false，保留默认 DERP 区域。它不会强迫客户端选默认节点，只是让默认节点仍在可选范围内，出问题时还有备用路径。

设为 true 会省略默认区域，只剩 ACL 里提供的自定义区域。若自定义节点不可用，客户端就没有默认 DERP 可以回退。

实际按需求决定：希望保留默认 DERP 就用 false；确实要排除默认节点才用 true。

HostName、IP、自签名证书和那条健康告警

我的成功配置是 IPv4 指向一个 IP、HostName 留空，并启用了InsecureForTests。这只是我当时这台客户端和该节点的实测组合；Tailscale 官方结构定义仍把 HostName 作为 DERP 节点字段。长期配置更推荐填写证书匹配的域名，并使用有效证书。

我当时还看到过类似下面的健康检查信息：

同时，tailscale ping 却能返回 via DERP(custom902) 这两件事可以同时出现：本次连接通过了 DERP 中继，但证书身份校验仍有告警。

InsecureForTests: true 跳过的是证书校验，不等于把 TLS 加密关掉；但客户端也因此无法可靠确认对端的身份，存在中间人冒充风险。所以这适合临时验证，不适合不加说明地当作长期安全配置。

更稳妥的长期配置思路是：

这里的域名需要有匹配的有效 TLS 证书，示例 IP 需要换成真实地址；证书配置正确后，移除 InsecureForTests。

网页能打开，为什么节点还是可能不可用？

我有一次从浏览器打开一个http://<IP>:9443/ 地址，页面能显示 DERP 提示，但客户端仍然连不上。

原因是浏览器打开网页和 Tailscale 建立 DERP 中继验证的不是同一件事。Tailscale 客户端需要通过 DERP 协议建立双向连接；如果配置的是 DERP HTTPS/TLS 端口，光有明文 HTTP 页面并不够。DERPPort 也只表示客户端要连接哪个端口，不会自动把 HTTP 升级成 HTTPS。

因此我把检查分成了三层：

1. FOFA 找到页面特征匹配的候选；
2. 浏览器能打开并显示 DERP 提示页；
3. tailscale status 和 tailscale ping 证实实际通过该节点中继。

真正确认客户端能用，最终看第三层。

最后总结

这次最大的收获，是把“看起来像 DERP”“端口网页能访问”和“Tailscale 真正通过它中继”区分开了。

• FOFA 查询适合发现候选；页面显示 This is a Tailscale DERP server. 只是初筛。
• RegionID 按官方预留范围使用 900–999，并保持 Region key、Region ID 和 Node ID 一致。
• DERPPort 要对应实际 DERP 服务端口；端口能打开不代表协议和 TLS 一定正常。
• HostName 省略后我这次确实成功，但这是特定实测；长期使用建议配置匹配证书的域名。
• InsecureForTests 让自签名证书测试变得方便，同时会跳过身份校验，存在安全取舍。
• 最后以 tailscale ping 返回 via DERP(custom901) 和 pong 作为实际中继成功证据。

官方参考

• Tailscale：Custom DERP servers
• Tailscale：DERP servers
• Tailscale DERPMap、DERPRegionID 和 DERPNode 定义
• Tailscale CLI 文档