Tailscale Funnel

Tailscale Funnel 可以把你 Tailscale 网络（tailnet）中某台设备上的本地服务，通过一个唯一的 Funnel URL 暴露到公网。可共享的对象包括本地 Web 应用、文件和目录。访问者不需要安装或登录 Tailscale。官网目前标注该功能处于 Beta 阶段，适用于所有套餐。

工作原理

• 共享本地资源后，Funnel 会生成一个只指向该资源的唯一 URL，形如 https://设备名.tailnet名.ts.net。
• 访问者的设备先通过公共 DNS 解析该 URL。解析结果是 Funnel 中继服务器的 IP，不是你设备的 IP，因此设备位置不会暴露在公网上。
• 中继服务器通过 Tailscale 向你的设备建立一条 TCP 代理，这是一条加密隧道。官方说明中继服务器无法解密其中的流量。
• 你设备上的 Tailscale 终结 TLS 连接，再把解密后的请求交给本地服务处理。

目标用户与使用场景

• 开发者想临时把本地开发中的 Web 应用分享给同事、客户或外部服务，例如调试需要公网回调地址的场景。
• 家庭实验室或自托管用户想让没有 Tailscale 的人访问某个本地服务。
• 需要快速共享某个文件或目录的个人和小团队。

如果只想在 tailnet 内部共享服务，官方建议改用 Tailscale Serve。

核心优势

• 不需要配置路由器端口转发，也不需要公网 IP。
• 自动为 tailnet 域名配置有效的 HTTPS 证书。
• 通过 Funnel 中继隐藏本地设备的真实 IP。
• 通过 tailnet 策略文件中的 funnel 节点属性，可控制哪些用户能使用 Funnel。

启用与使用

Funnel 默认关闭，需通过 Tailscale CLI 启用并创建：

tailscale funnel 3000

首次运行会弹出网页界面，提示你批准启用 Funnel。批准后，Tailscale 会自动为 tailnet 生成 HTTPS 证书，并在策略文件中添加 funnel 节点属性。该属性默认授权给 autogroup:member，管理员可以手动收紧。

技术要求

• Tailscale v1.38.3 或更高版本。
• tailnet 已启用 MagicDNS 和 HTTPS。
• 策略文件中有 funnel 节点属性。修改策略文件需要 Owner、Admin 或 Network admin 角色。
• 设备平台需要能运行 Tailscale CLI。

限制与注意事项

• 只能使用 tailnet 域名（tailnet-name.ts.net）下的 DNS 名称，不能用自定义域名。
• 只能监听 443、8443 和 10000 端口，且只支持 TLS 加密连接。
• 流量受不可配置的带宽限制。
• 同一端口不能同时用于 Serve 和 Funnel。以最近一次配置命令为准：执行 serve 则该端口完全私有，执行 funnel 则完全公开。
• 在 macOS 上共享文件和目录，需要使用开源版本的 Tailscale 客户端。通过 App Store 或 Standalone 系统扩展版本安装的客户端只能共享端口。
• 频繁申请新证书可能触发 Let's Encrypt 的速率限制。
• 新建 Funnel 后，公共 DNS 记录最长可能需要 10 分钟才能生效。
• 使用 Funnel 时，Funnel 中继服务器会出现在设备的 Tailscale peer 列表中。