用途：该技能用于把 Grok Bot 作为一台带 tag:grokbot 标签的设备接入用户的 Tailscale tailnet，并限制它只能访问策略文件授权的主机与端口，因此需要先配置策略再登录。
主要能力与用法：
- 定义标签并授权。在 Tailscale 管理控制台打开 Access controls 编辑策略文件，把 tag:grokbot 加入 tagOwners，列出将登录的用户或 autogroup:admin；再添加一条从 tag:grokbot 出发的 grant，只指向 Grok Bot 应访问的 MCP 主机和端口。示例结构为 tagOwners 与 grants 两个键，dst 使用真实主机名、100.x 地址或标签，ip 使用 MCP 服务器监听的端口。应把这些键合并进现有策略而非替换。若策略仍保留默认的 allow-all 规则，tag:grokbot 可访问所有设备，需指出并建议收窄。
- 连接 Grok Bot。在 Grok Bot 中打开 Tailscale 插件并点击 Authenticate，登录 Tailscale 并批准新设备。若 tailnet 开启了设备审批，需在管理控制台 Machines 页面批准；若使用 Tailnet Lock，需在签名节点执行 tailscale lock sign <node-key>，未签名前无法访问任何资源。
- 添加 MCP 服务器。按常规方式添加，URL 主机使用其 *.ts.net 名称或 100.x 地址，对该主机的请求会走 tailnet。
使用范围：只有机器人所有者、已关联队友的消息，以及所有者安排的例程可以使用该 tailnet，其他人给机器人发消息则不能。断开时在 Grok Bot 的 Tailscale 插件页面点击 Remove。
限制与排错：无法访问某主机时，检查 tag:grokbot 的 grant 是否覆盖该主机与端口，以及设备是否已批准（使用 Tailnet Lock 时是否已签名）；登录时无法应用标签，通常是因为登录用户不是 tagOwners 中 tag:grokbot 的所有者。