优雅容器化！如何把 Tailscale 作为 Docker Sidecar 边车部署，让独立容器安全接入虚拟局域网

Tailscale Sidecar 封面

[!NOTE] 很多玩 Docker 的极客和开发者，都喜欢将自建的 Web 管理后台、私有数据库或者调试面板运行在容器中。但如果我们把整台宿主机都连入虚拟组网中，往往会暴露不必要的本地服务，增加安全隐患。今天老周手把手教大家使用 Tailscale 官方 Docker 镜像，通过 Compose 的“网络栈共享（Sidecar）”机制，让单个容器独立、安全地连入自建局域网，并实现自动免密注册上线！本教程仅用于个人多设备互联与合规的远程办公场景。

亲爱的读者，欢迎回到 老周的AI进化实验室！

在日常玩转 Docker 容器化时，许多小伙伴都在考虑一个安全与优雅的平衡问题。

很多时候，我们在 NAS 或云服务器上跑了十几个容器（比如博客、青龙面板、Jellyfin、甚至是数据库），但我们只希望把其中某一个极其敏感的后台面板（比如数据库或私有管理台）拉进我们的自建组网网络，方便远程调试；而其他的娱乐容器或公开网页，根本不需要接入虚拟网络。

如果直接在宿主机上开启 Tailscale，默认会把宿主机的整个网络暴露出去。

为了实现更优雅的微服务管理，今天老周教大家一门容器化高阶绝招——将 Tailscale 部署为 Docker Sidecar（边车容器）。

通过该方案，我们可以把网络功能解耦。让一个独立的业务容器（如 Redis、数据库或私有 Web）与 Tailscale 边车容器共享同一个网关环境，让这个业务容器在不需要宿主机开网的情况下，独立以单个虚拟节点的身份安全上线！

🔒 什么是 Docker Sidecar（边车模式）？

在 Docker 的底层网络中，每个容器默认拥有独立的 Network Namespace（网络命名空间）。

Sidecar 边车模式指的是：我们启动一个专门处理网络加密的容器（Tailscale），然后指引我们的业务业务容器（如我们的数据库管理面板），在启动时强制声明使用 Tailscale 容器的网络空间（network_mode: service:tailscale）。

这样一来，业务容器就没有了自己的独立虚拟网卡，它所有的网络流入与流出，全部由 Tailscale 容器代劳。对于虚拟网格而言，看到的就只有这一个隔离的业务服务，安全系数成倍提升！

🛠️ 第一步：在控制台申请无头设备免密注册秘钥

由于我们的容器需要能实现“一键部署、自动上线、销毁后自动下线”的弹性管理，我们不能在容器启动后手动去命令行输入账号密码验证。我们需要使用 Auth Keys。

1. 登录您的 Tailscale 后台控制面板。
2. 导航至 Settings (设置) -> Keys 页面。
3. 在 Auth keys 部分，点击 Generate auth key...。
4. 勾选 Ephemeral（临时节点：非常适合容器。一旦容器关闭下线，该节点会自动从设备列表中剔除，防止残留大量无效设备名）。
5. 点击 Generate，复制生成的 tskey-auth-xxxx 秘钥字符串，妥善保存。

🐋 第二步：编写 Docker-Compose 实现边车网络共享

我们以穿透一个简单的 Web 页面容器为例（假设我们在内网用 nginx 容器跑了一个敏感的前端管理台，运行在 80 端口）。

在服务器或 NAS 上，创建工作目录：

mkdir -p /opt/tailscale-sidecar && cd /opt/tailscale-sidecar 

新建 docker-compose.yml 配置文件：

nano docker-compose.yml 

粘贴以下配置。请务必将 TS_AUTHKEY 替换为您刚才申请的实际秘钥，并将设备名修改为您自定义的名字：

version: '3'

services:
  # 1. Tailscale 边车网络容器：负责拉起网络隧道
  tailscale-sidecar:
    image: tailscale/tailscale:latest
    container_name: ts-sidecar
    volumes:
      - ./state:/var/lib/tailscale  # 持久化保存设备状态，避免每次重启生成新IP
      - /dev/net/tun:/dev/net/tun   # 共享虚拟网卡驱动
    cap_add:
      - NET_ADMIN                   # 允许容器操作路由表
      - SYS_MODULE
    environment:
      - TS_AUTHKEY=tskey-auth-your-key-here  # 填入前面申请的免密Key
      - TS_STATE_DIR=/var/lib/tailscale
      - TS_HOSTNAME=docker-web-portal        # 设备上线后在控制台显示的机器名
    restart: unless-stopped

  # 2. 目标业务容器：这里以一个 nginx 容器为例
  business-web:
    image: nginx:alpine
    container_name: business-web
    # 核心黑科技：共享 tailscale-sidecar 容器的网络空间
    network_mode: "service:tailscale-sidecar"
    restart: unless-stopped
    depends_on:
      - tailscale-sidecar

🔑 架构细节剖析： * network_mode: "service:tailscale-sidecar"：这是本教程的精髓。它指引业务 nginx 容器直接加入 Tailscale 容器的网络命名空间。业务容器不需要放行任何 ports，它在本地监听的 80 端口会直接绑定在 Tailscale 的内网虚拟 IP（如 100.123.45.67:80）上。 * volumes 状态挂载：将宿主机的 ./state 挂载到容器中，这样即使您更新容器版本，该节点在 Tailnet 里的虚拟 IP 也不会发生变化。

🚀 第三步：拉起容器与验证

在配置文件目录下运行命令拉起这套双容器矩阵：

docker compose up -d

启动后，容器会自动向 Tailscale 握手并注册。

现在，我们登录 Tailscale 控制台，会发现设备列表中多出了一台名为 docker-web-portal 的无头设备，并且获得了一个 100.x.x.x 格式的内网 IP。

📌 连通性测试

在您的工作电脑上（已连接 Tailscale），直接在浏览器中输入刚才获得的内网 IP，即可瞬间打开这个完全被网络隧道保护、被安全隔离在宿主机防火墙内部的业务网页！ * 宿主机没有放行任何 80 端口，外网无法扫描，极度安全。 * 业务容器本身并没有感知到 Tailscale 的存在，极易实现服务的插拔与解耦。

💡 老周总结

通过 Docker Sidecar 机制，我们利用解耦的网络拓扑，完美实现了微服务层面的安全入网。这不仅将宿主机的风险降到了最低，更是为开发者提供了一种在混合云和容器化集群中快速、低延迟、零摩擦进行远程开发和接口调试的标准工业级实践方案。

如果您在挂载网卡驱动或 Compose 端口映射调试中遇到问题，欢迎在留言区给老周留言，我们一起探讨解决！

[!TIP] 觉得本期教程实用？别忘了点击“关注”老周的AI进化实验室，并把文章分享给身边同样饱受远控限速折扰的极客朋友们！