用途：在 Headscale 管理的 tailnet 中配置子网路由器与出口节点。子网路由器通过网关节点通告本地 LAN 子网，让非 Tailscale 设备（打印机、NAS、IoT）可被访问；出口节点把非 tailnet 的互联网流量经指定服务器转发，用于不可信网络下的隐私保护。Headscale 集中管理路由审批：路由须先由网关节点通告，再在 Headscale 服务器上批准后才生效。
主要能力与用法： 子网路由器：在网关节点执行 tailscale up --advertise-routes=192.168.1.0/24，在 Headscale 服务器执行 headscale routes approve -r <route-id>，客户端执行 tailscale up --accept-routes。 出口节点：在出口节点执行 tailscale up --advertise-exit-node，在 Headscale 批准该路由，客户端用 tailscale set --exit-node=<node-name> 选择。 自动审批：在 ACL 策略中配置 autoApprovers，为 routes 与 exitNode 指定 tag，使带该 tag 的节点自动获批。 via 过滤：在 grants 中用 via 限制跨子网访问路径，便于网关防火墙检查流量。 SNAT：默认对子网路由流量启用源 NAT；如需下游看到原始客户端 IP，可加 --snat-subnet-routes=false。 路由管理命令：headscale routes list、headscale routes approve -r <route-id>、headscale routes approve --all -n <node-name>、headscale routes reject -r <route-id>。
限制与注意事项：网关节点需保持在线，否则路由不可用；客户端必须启用 --accept-routes 才会使用通告子网；默认仅 IPv4，需显式配置双栈；重叠子网行为未定义，应使用不重叠 CIDR；CLI 命令需服务器 shell 访问，远程管理需用 REST API 及 HEADSCALE_URL、HEADSCALE_API_KEY。本技能仅覆盖子网路由器与出口节点，不涉及节点生命周期管理或 ACL 策略编写。