告别自建 DERP 中继！实测 Tailscale 颠覆级新功能 Peer Relays，让局域网设备互为中继

Tailscale Peer Relays 封面

⚠️合规提示：本文所涉及的 Tailscale Peer Relays 技术，仅适用于在私有局域网（Tailnet）内部中转设备间的文件传输与服务访问。中继节点仅限于协助打洞困难的局域网客户端进行端到端连接，不具备也不提供任何跨境全局代理（Exit Node）功能，请合规用于个人及企业内部远程办公。

用过 Tailscale 异地组网的朋友，几乎都遇到过这个经典痛点：

当你身处复杂的网络环境（例如手机 5G 信号、公司内网、或校园网），与家里的 NAS 或电脑连接时，由于双方都是“对称型 NAT（Symmetric NAT）”，导致P2P 穿透打洞失败。

此时，你的连接流量会强行 fallback（回退）到 Tailscale 官方的DERP 中继服务器。由于官方中继节点大多在海外，这会导致：

*延迟突破天际（300ms 以上，打字、控制桌面严重卡顿）。 *传输速度被限制（甚至只有几十 KB/s，根本无法传输大文件）。

过去，为了解决这个问题，老周教过大家《用国内云服务器自建 DERP 中继》。但那需要购买云主机、注册域名、配置 SSL 证书，对于很多不想折腾的读者来说门槛还是太高。

而在 2026 年，Tailscale 官方正式推出了一项堪称“降维打击”的黑科技 ——Peer Relays（对等中继）。今天老周就带大家实测，如何不需要任何外网 VPS，直接让你家里的高性能节点（如 NAS、软路由）充当全网的中继服务器！

💡 什么是 Peer Relays（对等中继）？

在以前，中继流量必须经过一个运行了 derper 守护进程的专用服务器。

而Peer Relays允许你指定局域网内的任何一台常规设备（如家里有公网 IP/IPv6 的 NAS、办公室的软路由），让它直接化身为中继服务器，协助其他打洞失败的设备进行流量中转。

graph TD

SubApp1[手机 5G/打洞失败] -->|中转流量| RelayNode["家里 NAS (Peer Relay)"] RelayNode -->|中转流量| TargetDev[家里电脑/打洞失败]

style RelayNode fill:#f9f,stroke:#333,stroke-width:2px

零成本：无需购买云服务器，压榨家里已有设备的性能。

安全无缝：中继流量同样基于 WireGuard 协议进行端到端加密，中继节点只能转发密文，绝对无法解密或窥探你的数据。

无感回退：当两台设备能打洞直连时，优先走直连；一旦打洞失败，Tailscale 客户端会自动、无缝地选择你指定的 Peer Relay 进行中继。

📌 第一步：为中继设备分配安全标签 (Tag)

为了防止局域网内任意设备被滥用做中继，Tailscale 要求必须在 ACL 策略中显式指定“谁是中继”。我们首先需要为充当 Peer Relay 的设备挂上一个安全标签。

登录 Tailscale 网页后台，进入Access Control。

在 tagOwners 中定义一个专属标签（例如 tag:relay-node）：

"tagOwners": {

"tag:relay-node": ["autogroup:admin"] }

导航到Machines页面，找到你准备用来做中继的机器（比如你家里的群晖/飞牛 NAS 或软路由）。

点击设备右侧的 ... ->Edit share settings或Change owner，将其所有者更改为 tag:relay-node。

📌 第二步：在 ACL 策略中开启中继授权 (Grant)

这是最关键的步骤。我们需要使用 Tailscale 最新的Grants（能力授权）语法，允许网络中的其他设备使用该中继。

在 Tailscale 控制台的Access Control中，在合适位置加入以下配置：

"grants": [

{ "src": ["*"], "dst": ["tag:relay-node"], "app": { "tailscale.com/cap/relay": [] } } ]

💡 规则解析：

src:["*"]：表示允许你 Tailscale 局域网内的所有设备使用这个中继。你也可以限制为只有特定用户组能用（例如 ["group:admin"]）。

dst:["tag:relay-node"]：指定被贴上 tag:relay-node 标签的机器有资格充当 Peer Relay。

tailscale.com/cap/relay：这是 Tailscale 官方定义的专用能力声明，表示授予中继转发权限。

📌 第三步：在中继节点上配置端口监听

回到充当 Peer Relay 的那台本地设备（例如你的 Linux 软路由或 NAS）。我们需要在客户端上开启中继监听服务：

打开终端（如果是 Docker 部署，进入容器终端），执行以下命令：

bash

设置中继服务监听 UDP 51820 端口 (也可以是其他任意可用 UDP 端口)

tailscale set --relay-server-port=51820

非常重要的一步：在你的路由器后台，配置端口转发（Port Forwarding），将公网的UDP 51820端口映射到这台充当中继节点的局域网内网 IP。(如果你的宽带有公网 IPv6，也可以直接在防火墙放行该设备的 UDP 51820 端口，无需做 NAT 转发)。

📌 第四步：异地实测与验证

配置完成后，我们在一台处于严苛对称 NAT 环境（如纯手机 5G）的异地设备上进行验证。

在客户端电脑上打开命令行，尝试 ping 或连接你家里另一台同样无法打洞的设备。

运行状态检查命令：

bash tailscale status 如果 Peer Relays 正常工作，你会在对应设备的连接方式（Tx/Rx 状态）中看到peer-relay标记，而不是传统的 relay (DERP)。

在中继设备上，也可以输入以下调试命令，查看当前正在帮哪些设备中转流量：

bash tailscale debug peer-relay-sessions

📝 老周的避坑与选型建议

为什么首选 NAS/软路由做中继？Peer Relay 进行数据中转会消耗 CPU 性能和上传带宽。建议使用家里网速快、性能好、24小时开机的设备。

带宽限制：

中转速度取决于你中继节点的上行宽带。比如你家宽带上传是 30Mbps，那么异地手机通过这个中继访问另一台设备时的最大速度也就是 30Mbps。

安全红线：

再次强调，此功能仅限转发内网设备之间的流量。不要尝试在中继设备上挂载海外出网代理，避免违反合规规定。

相比自建 DERP，Peer Relays 几乎做到了“零维护、零成本、配置一次终身受用”。快去给你家里的 NAS 开启这个功能吧！如果在配置中遇到端口映射不通，欢迎在评论区随时提问！