OpenWrt 使用 tailscale 异地组网后，怎么实现两地的内网设备在不安装 tailscale 的情况下相互访问

[xpn282]

有 2 个局域网，每个局域网都是 OpenWrt 主路由。之前是在这 2 个 OpenWrt 主路由上部署了 zerotier 进行异地组网，在 zerotier 网站上配置好了各个局域网的内网路由表，然后这 2 个局域网下的设备无需安装 zerotier 的 app ，就可以相互进行访问了。

但是现在 2 个 OpenWrt 主路由换为 tailscale 异地组网后，也在 tailscale 网站上配置好了 2 个局域网的子网网段，用 tailscale status 命令查看，可以看到 2 个 OpenWrt 之间是打洞成功的（ direct ），但是 2 个局域网下的设备不能相互访问。。

有个奇怪的现象就是，比如 A 局域网的设备访问 B 局域网的 OpenWrt 的管理页面（ tailscale 分配的 IP ），是不能打开的，但是如果在这个 IP 地址后面加上端口确能访问到这个 OpenWrt 对应的服务，比如 x.x.x.x:5244 就能打开 alist 的界面，同理可以加端口服务到其他服务，但就是不能打开 OpenWrt 的主页面，提示“Forbidden, Rejected request from RFC1918 IP to public server address"...

是不是 tailscale 在进行异地组网后，内网设备在不安装 tailscale 客户端的情况下，是不支持相互访问的？？一定要按照 tailscale 客户端才行？？？

[mauis]

感觉是防火墙配置问题。你在 op 有到对应路由表，防火墙放行了吗

[aogg]

tailscale 有 route 功能，搭建的时候给个参数即可

[Danswerme]

可以访问 OpenWrt 对应的服务但不能访问主页面，这应该是 OpenWrt 的配置问题，Google 一下那个报错有很多相关的帖子你可以试试。

至于异地组网，需要在两边的 OpenWrt 路由器上做静态路由。 假设 A 路由器局域网 IP 为 192.168.1.0/24 ，TailScale 分配的 IP 是 172.22.1.1 ； B 路由器局域网 IP 为 192.168.2.0/24 ，TailScale 分配的 IP 是 172.22.1.2 ；则需要做如下配置：

A 路由器增加静态路由：目标网段 192.168.2.0/24 ，网关 172.22.1.2
B 路由器增加静态路由：目标网段 192.168.1.0/24 ，网关 172.22.1.1

[hefish]

还要设置成 exit node 吧。。。

[vinsony]

内网设备不用装客户端，照此设置 https://openwrt.org/docs/guide-user/services/vpn/tailscale/start

[sypopo]

之前我就没设置成功，又用回 zerotier

[tcxurun]

之前遇到类似情况，好像最终解决方式是在 Openwrt 的网络——防火墙下常规设置中 入站数据、出站数据、转发三项全部设置为接受解决的

[Tink]

你把 route advertise 出去就好了呀

[xpn282]

@vinsony 非常感谢，按照文章添加了接口和防火墙区域 可以通过 tailscale 分配的 IP 访问另一个局域网的 OpenWrt 主界面了。


@tcxurun 对，就是要这样操作才行，谢谢


@Danswerme 感谢，我尝试了一下，自己设路由表也不行，还是不能直接访问另一个局域网的内网 ip 。之前使用 zerotier 的时候挺简单的，根本不需要在 OpenWrt 手动弄路由表，只要在 zerotier 的网站上配置好了路由表，OpenWrt 上就会自动生成对应的内网 ip 路由表了。但是 OpenWrt 上我并没有看到 TailScale 关于局域网 IP 的路由表。。。。

[Eaglemask]

@xpn282 我 zerotier 没搞定内网资源访问, 准备换 tailscale 了.

[xpn282]

@Eaglemask
你也是搞 zerotier 异地组网吗
还是单单就外网设备 zerotier 访问家里的内网设备？

[Eaglemask]

@xpn282 异地组网和外网访问内网设备需求都需要.

[Eaglemask]

@xpn282 其实我打算是在内网跑 K8S, 然后把现在在一些 IDC 上跑的服务迁移过来, 然后 IDC 上 VPS 只跑类似 nginxwebui 的代理流量到内网 K8S 上, 从而节约开支, 关键的是数据都在自己手里.

同时内网打算跑类似 iredmail 之类的服务, 然后 IDC 上 VPS 做中继出去, 同样是出于数据在自己手里的考虑.

[xpn282]

@Eaglemask
我这里的用 zerotier 很顺手啊，我家里和朋友家的 OpenWrt 都装了 zerotier ，在 zerotier 官网配置好内网转发网段，其他就不用在设置了。2 个局域网下的内网设备都不用装 zerotier 的 app 了，都可以直接相互访问，我可以直接访问到朋友家的光猫页面去了

[Eaglemask]

@xpn282 我用的是自建 zerotier, 一样设置了内网转发网段, 但是奇怪都失败了.

[wonderblank]

几行防火墙规则就可以搞定。

[wonderblank]

```
root@main:/usr/share/nftables.d# find . | grep tail
./chain-post/forward/tailscale.nft
./chain-post/forward_lan/tailscale.nft
./chain-post/srcnat/tailscale.nft
./table-pre/tailscale.nft
root@main:/usr/share/nftables.d# cat ./table-pre/tailscale.nft
chain accept_to_tailscale {
oifname "tailscale0" counter packets 0 bytes 0 accept comment "tailscale VPN"
}

chain forward_tailscale {
iifname "tailscale0" counter packets 0 bytes 0 accept comment "tailscale VPN"
}
root@main:/usr/share/nftables.d# cat ./chain-post/srcnat/tailscale.nft
oifname "tailscale0" counter masquerade comment "tailscale VPN"
root@main:/usr/share/nftables.d# cat ./chain-post/forward_lan/tailscale.nft
jump accept_to_tailscale
root@main:/usr/share/nftables.d# cat ./chain-post/forward/tailscale.nft
iifname "tailscale0" jump forward_tailscale
root@main:/usr/share/nftables.d#
```

[Semantic]

@Danswerme 光添加，这两条静态路由规则不行，tailscale 官方教程 https://tailscale.com/kb/1214/site-to-site ，是这样

A：10.0.0.0/20 子网，需要添加一条到 tailnet 和远程 10.118.48.0/20 LAN 的静态路由：

ip route add 100.64.0.0/10 via 10.0.0.2
ip route add 10.118.48.0/20 via 10.0.0.2

B：同样，10.118.48.0/20 子网，添加一条到 tailnet 和到远程 10.0.0.0/20 LAN 的静态路由：

ip route add 100.64.0.0/10 via 10.118.48.2
ip route add 10.0.0.0/20 via 10.118.48.2

然后 tailscale 启动命令
加上 --snat-subnet-routes=false 和 --accept-routes

实测这样才行

[skadi]

我是需要在 tailscale 路由器添加防火墙规则
# 允许内网设备访问当前路由器的 tailscale 的子网
iptables -I FORWARD -i tailscale0 -j ACCEPT
ip6tables -I FORWARD -i tailscale0 -j ACCEPT
iptables -I FORWARD -o tailscale0 -j ACCEPT
ip6tables -I FORWARD -o tailscale0 -j ACCEPT
iptables -t nat -I POSTROUTING -o tailscale0 -j MASQUERADE

[kuaizi]

@skadi 楼上这个有用