嘿，咱就是说你有没有遇到过Tailscale DERP中继故障的情况？哈哈，那种感觉就像，你的网络连接突然就不顺畅了你懂的。

Zui近咱就遇到了这么个事儿，远程连接老是出问题，害，我还以为是设备故障呢。

自建DERP中继服务器那些事儿

咱先来说说为什么需要自建DERP中继节点？Tailscale这玩意儿，它的核心优势约20%的设备由于NAT类型限制或防火墙策略无法直接建立P2P连接，这时候就得依赖DERP服务了。

{ "derpMap": { "OmitDefaultRegions": false, "Regions": { "": { "RegionID": , "RegionCode": "self-derp", "RegionName": "自建 DERP", "Nodes": } } }}

注意：使用Tailscale IP时无需HostName字段。所有Tailnet成员均可通过WireGuard隧道到达DERP服务。但tailscale cert签发HTTPS证书需要tailnet开启HTTPS支持，CGNAT环境下通常不可用。

问题一：ACL配置错误

在ACL derpMap中添加OmitDefaultRegions: true可完全禁用Tailscale官方DERP节点，所有中继流量强制走自建节点。但Ru果客户端分布在国外设true后可Neng因无法连接自建中继导致组网失败。稳妥Zuo法是保持false，让Tailscale自动选择延迟Zui低的节点。

说实话，为啥百度不收录咱的文章呢？有人说是内容质量的问题，也有人说是搜索引擎算法的问题，反正咱就是说咱会继续努力写好文章，你懂的。

问题二：TLS证书验证失败

Windows客户端无法通过Tailscale IPSSH连接到Linux服务器，报http: TLS handshake error: cert mismatch with hostname: ""。解决方式：从tailscale源码编译，注释掉cert.go中的hostname检查。

// 修改前：if hi.ServerName != m.hostname && !m.noHostname { return nil, fmt.Errorf}// 修改后：if false && hi.ServerName != m.hostname && !m.noHostname { return nil, fmt.Errorf}

问题三：云安全组未放行TCP xxxxx

从Windows客户端测试TCP连通性发现xxxxx端口超时。火山引擎安全组默认只放行了常用端口，未开放自定义的DERP端口。

问题四：HostName字段为空

HostName为空导致客户端无法确定连接目标，DERP连接直接失败。在目标机上执行tailscale debug derp-map发现自建DERP节点的HostName字段为空。

问题五：健康检查误报

Tailscale客户端健康检查可Neng持续报告“无法连接到自建DERP中继服务器”，但实际中继功Neng正常。这是由于Tailscale健康检查的TLS验证方式比netcheckgeng严格，自签证书不被健康检查信任所致。关键tailscale status显示active; relay "self-derp"说明中继实际在工作。tailscale netcheck也Neng正确测出延迟。健康检查警告在此场景下属于cosmetic issue，不影响功Neng。

Docker化部署方案

除源码编译外也可使用Docker镜像yangchuansheng/derper快速部署，无需手动编译和systemd管理。

docker run -d \ --name derper \ --restart unless-stopped \ -p xxxxx:xxxxx/tcp \ -p :/udp \ -v /etc/derper/certs:/app/certs:ro \ -v /var/run/tailscale:/var/run/tailscale:ro \ -e DERPDOMAIN=derp.tailnet.local \ -e DERPCERTMODE=manual \ -e DERPCERTDIR=/app/certs \ -e DERPADDR=':xxxxx' \ -e DERPSTUN=true \ -e DERPHTTPPORT='-' \ -e DERPVERIFY_CLIENTS=true \ yangchuansheng/derper

DOCKER容器挂载证书目录不存在问题排查与解决办法分析定位及解决步骤

Tailscale +DERP : 不得不说的网络那些事... 对接Tailscale , 实现高速、安全的远程访问.... 不对不对，应该是在CGNAT环境下如何配置ACL以确保Tailscale正常工作...

{  "derpMap": {    ...    }}

DOCKER容器启动命令参数深度解析及实践应用指南示例演示大全

docker run .....

TLS验证相关常见问题处理方法汇总整理大全及对应解决策略分析

...

. 本文记录了Tailscale自建DERP中继服务器从不可用到修复的完整排查过程，涵盖ACL配置错误、TLS证书验证失败、云安全组端口未开放等问题的诊断与解决。

---