用途：该技能包用于部署和管理自托管的 Tailscale/Headscale 生态，以开源控制服务器 Headscale 为核心，包含 7 个按上下文自动加载的子技能。当用户消息命中触发关键词时，对应子技能的 SKILL.md 会被加载，触发词重叠时可同时加载多个。
主要能力与子技能：headscale-deploy（部署/安装/配置 Headscale 服务器）、tailnet-policy（ACL、策略文件、访问控制、授权、标签所有者）、tailscale-client（安装客户端、连接 Headscale、tailscale up/status、连通性诊断）、headscale-node-lifecycle（认证密钥、预授权密钥、注册/批准/标记/列出/下线节点）、headscale-routing（子网路由器、出口节点、通告与批准路由）、headscale-derp（DERP、中继、对等中继、STUN）、headscale-backup（备份、恢复、迁移）。
依赖顺序：headscale-deploy 必须最先完成，其余子技能依赖运行中的 Headscale 服务器；建议在向其他用户开放 tailnet 前先配置 tailnet-policy；headscale-derp 可选但推荐用于跨 NAT 可靠性；生产部署应定期运行 headscale-backup。
共享脚本（位于包根 scripts/）：headscale-health-check.sh（探测版本、节点数与数据库完整性，支持 --json）、headscale-backup.sh（生成带校验清单的归档，支持 --dry-run --json）、headscale-restore.sh（校验并恢复归档，支持 --backup 与 --dry-run --json）、tailscale-status-json.sh（封装 tailscale status --json 并做对等诊断）、test-all.sh（对所有脚本做冒烟测试）。模板位于 templates/，含 docker-compose-headscale.yaml、headscale-config.yaml、policy-allow-all.json、policy-deny-all.json、policy-tagged-segmented.json、derp-map.json。
环境变量：HEADSCALE_URL、HEADSCALE_API_KEY（由 headscale apikeys create 创建）、TAILSCALE_AUTHKEY（用于非交互式客户端注册）。前置条件：bash、Python 3.10+、jq、curl；运行中的 Headscale 服务器；目标机安装 tailscale 客户端；备份/恢复需访问服务器 sqlite 数据库、配置、策略与证书路径。
限制：仅面向自托管 Headscale 控制平面，不管理 Tailscale 托管 SaaS；脚本运行时检查环境变量但不自行创建凭据；备份/恢复仅针对控制服务器主机上的文件，无法恢复从未备份的数据，恢复后应做健康校验；恢复仅接受 manifest 版本 1 归档，迁移需在目标机安装经验证的恢复助手。单一子技能任务应直接加载对应子技能，而非本总览技能。