想從外面安全連回自己的電腦、NAS 或伺服器，卻一看到固定 IP、Port Forwarding、DDNS、Firewall 就頭痛嗎？Tailscale 正是為了解決這類麻煩而出現的工具。它能把散落在不同網路環境裡的裝置，組成像同一個區域網路般的私人網路；如果連控制伺服器都想自己掌握，還有開源的 Headscale 可以選。這篇就用最白話的方式，把兩者的原理、免費方案、開源程度與適用情境一次說清楚。
1. Tailscale 到底是什麼？
第一次看到 Tailscale，很多人會直接把它理解成「VPN 軟體」，這麼說不算錯，但其實又有點太簡化。比較精準的說法是：Tailscale 是建立在 WireGuard 技術上的 Mesh VPN，也可以理解成一種 Overlay Network，也就是在原本的網際網路之上，再建立一層只有特定裝置可以加入的私人網路。
每台裝置可能位於家中、公司、行動網路或不同國家，彼此隔著路由器、防火牆與 NAT。
裝置加入同一個 Tailnet 後，可以透過加密連線互相找到彼此，看起來就像位於同一個私人區域網路。
Tailscale 把這個由裝置組成的私人網路稱為 Tailnet。裝置加入同一個 Tailnet 後，會取得自己的 Tailscale IP，並能在權限允許的情況下與其他裝置通訊。真正傳輸資料時，底層則透過 WireGuard 加密。
它最吸引人的地方，不是重新發明一套 VPN 加密技術，而是把以前架 VPN 最麻煩的金鑰交換、裝置探索、NAT 穿透、權限管理與路由設定，大量自動化。
2. 既然底層是 WireGuard，為什麼不直接自己架？
如果熟悉 Linux 與網路設定，當然可以直接架 WireGuard，而且不少進階玩家也確實這麼做。問題是 WireGuard 本身主要處理的是安全加密隧道，真正讓一般使用者頭痛的，常常是周邊環境。
固定或公開 IP → DDNS → Port Forwarding → Firewall → WireGuard 金鑰 → Peer 設定 → Routing → 維護如果又碰到 CGNAT、雙重 NAT、公司防火牆、飯店 Wi-Fi、行動網路等環境，事情就會更麻煩。Tailscale 的價值，就是盡可能幫使用者處理這些複雜度。
3. Tailscale 實際怎麼連線？
假設有兩台位在完全不同網路的設備，只要兩邊都安裝 Tailscale 並加入同一個 Tailnet，Tailscale 就會協助它們交換必要的網路與加密資訊。
裝置 A 100.x.x.x
↕ WireGuard 加密連線
裝置 B 100.x.x.x理想情況下，兩台設備會建立直接的 Peer-to-Peer 連線，也就是資料直接從 A 傳到 B，而不是每一個封包都繞去 Tailscale 的中央伺服器再回來。
這也是 Tailscale 跟許多人印象中的「所有資料都經過 VPN 公司伺服器」很不一樣的地方。
4. 我的流量會經過 Tailscale 伺服器嗎？
一般來說，Tailscale 會優先嘗試讓兩個節點直接連線。它的 Control Plane，也就是控制層，主要負責協調「誰是誰、誰可以連誰、要怎麼找到彼此」，而真正傳輸檔案、SSH 資料或其他網路封包的 Data Plane，會盡可能直接發生在裝置之間。
負責登入、身分、節點資訊、金鑰與存取政策協調，可以想成幫雙方交換聯絡資訊。
真正的資料傳輸層。能直接連線時，兩台裝置直接透過 WireGuard 傳輸加密資料。
但現實中的 NAT 與防火牆千奇百怪，有些環境確實無法順利建立直接連線。這時 Tailscale 可以改用 Relay，其中大家最常聽到的是 DERP。即使封包透過 DERP 中繼，資料本身仍受到 WireGuard 加密保護，所以 Relay 的角色比較像「幫忙轉交鎖好的箱子」，而不是打開箱子查看裡面的內容。
想進一步研究，可以閱讀 Tailscale 官方 Connection Types 說明。
5. Tailscale 免費嗎？免費版夠用嗎？
有，而且對多數個人使用者來說相當夠用。截至 2026 年 9 月，Tailscale 官方 Personal 方案價格為 US$0，Free forever。
| Personal 方案項目 | 截至 2026 年 9 月官方標示 |
|---|---|
| 價格 | US$0 |
| 使用者 | 最多 6 位 |
| 個人使用者裝置 | 不限數量 |
| ACL Groups | 最多 3 組 |
| Tagged Resources | 起始最多 50 個 |
| Ephemeral Resources | 每月 1,000 分鐘免費額度 |
如果只是個人遠端連線、家用 NAS、Homelab、自架服務或少量家庭成員共用，通常不必一開始就考慮付費方案。不過雲端服務的價格與方案內容隨時可能調整，實際使用前仍建議再次查看官方 Pricing 頁面。
6. Tailscale 是開源的嗎？答案是「大部分，但不是全部」
這題非常容易被簡化成「Tailscale 是開源」或「Tailscale 不是開源」，但兩種說法其實都不夠完整。
依照 Tailscale 官方 Open Source 說明，Tailscale 的核心 Client 程式碼大部分是開源的，包括 tailscaled daemon、tailscale CLI，以及 DERP relay server 等元件；建立在其上的 WireGuard 本身也是開源技術。
但是，Tailscale 官方託管的 Coordination Server／Control Server 並沒有完整開源，而是 Tailscale 代管服務的一部分。
而這個「Control Server 沒有完整開源」的缺口，正是 Headscale 出現的原因。
7. Headscale 是什麼？跟 Tailscale 有什麼關係？
Headscale 是一個開源、可以自行架設的 Tailscale Control Server 實作。換句話說，它不是另一種 VPN 協定，也不是用來取代 WireGuard，而是把原本由 Tailscale 官方提供的控制伺服器，改成由使用者自己維護。
一般 Tailscale：Client → Tailscale 官方 Control Server
使用 Headscale：Client → 自己架設的 Headscale ServerHeadscale 並不是 Tailscale 公司旗下另一個正式產品，而是獨立、由社群維護的專案。Tailscale 官方也公開說明 Headscale 是 independently developed、community-maintained 的開源 coordination server，主要面向想研究、自架、Homelab 或重視 infrastructure sovereignty 的使用者。
Headscale 官方則將自己的設計目標描述為：提供 self-hosters 與 hobbyists 一個開源、自架的 Tailscale control server 替代方案，而且定位較聚焦於單一 Tailnet、個人或小型開源組織。
授權方面，Headscale 的 GitHub 專案目前採用 BSD 3-Clause License。
8. Tailscale 與 Headscale 完整比較
| 項目 | Tailscale | Headscale |
|---|---|---|
| 定位 | 完整代管的私人網路服務 | 自架 Control Server 實作 |
| 底層加密 | WireGuard | 搭配相容的 Tailscale Client／WireGuard 網路 |
| 控制伺服器 | Tailscale 代管 | 自己架設 |
| 官方 Control Server 開源 | 否 | Headscale 本身為開源實作 |
| 費用 | Personal 免費，另有付費方案 | 軟體免費，但主機、網域等成本自行負擔 |
| 伺服器維護 | 官方處理 | 使用者自己處理 |
| 更新與備份 | 多數由官方處理 | 自行更新、備份與監控 |
| 使用門檻 | 低 | 中高 |
| 主要對象 | 一般使用者、家庭、團隊與企業 | Self-host 玩家、Homelab 與進階使用者 |
有一個觀念很重要：Headscale 並不是「省錢版的 Tailscale」。因為 Tailscale 本來就提供相當實用的免費 Personal 方案。選擇 Headscale 更常見的理由，其實是希望連控制層都由自己掌握。
9. 常見用途：NAS、SSH、遠端桌面與自架服務
人在外面也能連回私人 NAS，不必為了遠端管理就直接把 NAS 後台暴露在公開網際網路。
伺服器可以只接受 Tailnet 內的連線，不一定要把 SSH Port 直接開放給全世界掃描。
可搭配 RDP、VNC 或其他遠端工具，先用 Tailscale 建立安全的私人網路層，再進行桌面連線。
Home Assistant、Jellyfin、Immich、Nextcloud、Grafana、Jupyter 或各種內部 Web UI，都可以限制只讓私人網路裝置存取。
對很多 Homelab 玩家而言，這甚至比「傳統 VPN」這個名稱更好理解：Tailscale 比較像是在網際網路上，幫自己的設備重新拉出一條私人區域網路。
10. Subnet Router、Exit Node 與 MagicDNS 又是什麼？
Subnet Router：讓不能安裝 Tailscale 的設備也能被存取
印表機、監視器、智慧家電或某些網路設備通常沒辦法直接安裝 Tailscale。這時可以指定一台支援 Tailscale 的機器作為 Subnet Router，替整個區域網路中的特定網段提供入口。
遠端裝置 → Tailscale → Subnet Router → 192.168.x.x 區域網路設備Exit Node：把某台設備當作上網出口
一般 Tailnet 主要負責私人設備彼此通訊，但也可以指定某台設備成為 Exit Node。啟用後，其他裝置可以把一般網際網路流量也透過該節點送出，概念上就更接近大家熟悉的「VPN 出口」。
MagicDNS：不用再背一串 IP
如果裝置一多，每次都輸入 100.x.x.x 顯然很煩。MagicDNS 可以讓你直接使用裝置名稱，例如以主機名稱來 SSH 或開啟服務，管理體驗會自然很多。
11. 到底該選 Tailscale 還是 Headscale？
如果你的需求只是安全連回自己的電腦、NAS、伺服器或自架服務，通常從 Tailscale 開始會比較輕鬆。安裝 Client、登入帳號、加入 Tailnet，很多網路協調工作就交給服務處理。
- 希望安裝後就能用
- 不想自己維護 Control Server
- 主要是遠端 NAS、電腦或伺服器
- 希望少碰 DNS、TLS 與伺服器維運
- 需要完整管理介面與官方服務
- 本來就在玩 Homelab
- 熟悉 Linux、DNS、TLS 與 Firewall
- 希望 Control Plane 自己掌握
- 願意自行處理更新、備份與故障
- 把架設本身也當作學習與興趣
但要特別提醒，Self-hosted 不等於自動比較安全。自己架 Headscale，確實能獲得更高的基礎架構控制權，但同時也代表更新、TLS、主機防護、備份、監控與漏洞修補都成為自己的責任。如果伺服器長時間沒有更新，反而可能製造新的風險。
12. 最後快速整理：其實沒有想像中複雜
① Tailscale 是建立在 WireGuard 上的 Mesh VPN／私人 Overlay Network，主要工作是讓不同地方的裝置安全地互相連線。
② Tailscale Personal 截至 2026 年 9 月仍為免費方案，最多 6 位使用者，個人裝置不限數量。
③ Tailscale 並非整套完整開源。Client 核心與 DERP 等大量元件是開源的，但官方託管的 Control Server 仍屬 proprietary。
④ Headscale 是獨立社群維護的開源 Tailscale Control Server 實作，主要面向 self-host、Homelab 與重視基礎架構自主權的使用者。
⑤ 多數人其實先用 Tailscale 就好。只有當你真的想把 Control Plane 也收回來自己管理，而且願意承擔維運責任時，Headscale 才會開始展現它真正的價值。
Tailscale 是「有人幫你把私人 WireGuard 網路管理好」。
Headscale 則是「連這個管理中心，我都想自己架」。
本文為一般技術介紹與學習用途，服務功能、免費方案、價格、支援平台及設定方式可能隨版本更新而改變，實際資訊請以 Tailscale、Headscale 與相關軟體官方文件為準。進行遠端連線、Subnet Routing、Exit Node、Firewall、Port、DNS、TLS 或伺服器設定前，請先理解可能造成的網路與資安影響，並妥善設定帳號驗證、存取權限、作業系統更新及備份機制。對外開放服務前，切勿僅因使用 VPN 或 Self-hosted 工具就假設系統已絕對安全。
