用途：当任务涉及搭建或管理 Tailscale tailnet（或自托管 Headscale 实例）时加载本技能，覆盖 ACL 策略、子网路由、Exit Node、DERP 中继服务器与节点生命周期。
核心概念：Tailscale 在 WireGuard 之上构建覆盖 mesh 网络。每个节点获得唯一的 100.x.x.x 段 Tailscale IP，通过 NAT 穿透进行点对点通信。控制服务器协调密钥交换与 ACL 策略，数据直接在节点间流动。
节点生命周期：认证支持网页认证、预认证密钥（临时或可复用、可绑定标签）、OIDC（Google、GitHub、Microsoft 及任意 OIDC 提供方）；标签用于标识设备身份而非用户登录，适合服务器与 CI 运行器；节点默认在若干天后过期（可配置），过期即从 tailnet 移除。
ACL 策略（huJSON）：结构包含 acls、groups、tags、hosts、derpMap、ssh、nodeAttrs。规则形如 { "action": "accept", "src": [...], "dst": [...] }，src 可连接 dst 指定端口；规则顺序无关，最具体策略生效。支持 group 命名用户组、tag 标识设备，以及显式 deny 规则（"*:refuse" 阻断全部端口，deny 覆盖 allow），可用于敏感网段。Tailscale SSH 通过 ACL 管理 SSH 访问并记录会话，无需管理密钥。
子网路由：用 tailscale up --advertise-routes=10.0.1.0/24,192.168.0.0/16 广播本地子网，需经 ACL 或管理控制台批准后生效，适用于连接本地网络、家庭实验室子网、云 VPC 与 IoT 设备。
Exit Node：用 tailscale up --advertise-exit-node 将节点作为互联网出口，适合访问固定 IP 或地理位置场景；受单节点带宽瓶颈限制，大规模下不能替代 NAT 网关。
DERP 中继：在 P2P 直连失败（对称 NAT、防火墙）时作为回退中继，客户端自动选择；可自建 DERP 服务器，需 TLS 证书、STUN 监听及 derpMap 配置。经中继的流量受服务器带宽限制。
Headscale：开源的自托管控制服务器替代方案，单二进制部署，支持 SQLite 或 PostgreSQL，CLI 管理（如 headscale users create、headscale nodes list、headscale routes enable），支持 OIDC 认证与内置 DERP 中继，客户端用 tailscale login --login-server https://headscale.example.com 接入。限制：不提供 Funnel 与 Serve，管理 UI 由社区驱动，API 成熟度较低。
注意事项：ACL 不是按顺序匹配，deny 始终优先；子网路由必须批准；无交互登录的服务器需配置预认证密钥以防密钥过期；打标签的节点无法交互登录，如需 SSH 应配合 Tailscale SSH ACL；WireGuard 开销约 4%，但内核态加密对 CPU 影响较小。未提及收费、价格或平台细节。