背景

因为之前鼓捣了一套「全天候办公程序」。让我的一堆电脑组成了一个办公集群，让我可以随时随地办公。

我是 Tailscale + RustDesk 的重度使用者。这不这个集群最近又加入了一台 AI 服务器。

于是我开始思考：能不能把 AI 服务器启动的本地 LLM 服务。直接转成公网服务，省去每次手动改地址或购买昂贵中转软件的麻烦？

说到常见痛点。

• 内网服务暴露到公网往往需要付费的中转网站，成本高。说起来，
• 使用动态 IP 或临时端口。每次启动后地址都会变，导致工具接入频繁出错。
• 安全性不足——直接打开防火墙端口容易被扫描攻击。
• 缺少统一域名，IP 访问既不友好也不安全。

为了解决这些痛点，我采用了「云主机 + Tailscale」的方案。

步骤概览

准备工作

• 云主机需要一台能够被公网访问的云主机。我选的是阿里云 ECS，2C2G 已足够。记得在上面装好 Nginx。
• 域名没有域名只能用 IP，既不方便也不安全。建议购买最便宜的个人域名，例如 myname.top。
• Tailscale确保 ECS 与本地机器都已安装 Tailscale，并登录同一个虚拟网络。登录后台即可查看网络状态。
• 放开 UDP 端口在 ECS 的安全组中放行 UDP，否则 Tailscale 无法直连。

完成上述步骤后网络层已经搭建完毕。登录到 ECS，执行一次 ping：

tailscale ping <本地机器_Tailscale_IP>
# 示例输出：
# tailscale ping mini-ubuntu via DERP in 161ms
# tailscale ping mini-ubuntu via direct in 196ms # 直连成功
tailscale status # 查看是否出现 “direct” 字样

配置 Nginx 进行反向代理

1. DNS 指向：把子域名（如 test.myname.top) 的 A 记录指向你的 ECS 公网 IP。
2. Nginx 配置文件：

cd /etc/nginx/conf.d
sudo touch test.myname.top.conf
sudo vi test.myname.top.conf

将下面内容粘贴进去：

server {
listen 80;话说回来，server_name test.myname.top;
# 替换为你的子域名
location / {
proxy_pass http://<本地_Tailscale_IP>:<服务端口>;# 如 http://100.x.x.x:8080
proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;# WebSocket 支持
proxy_http_version 1.1;proxy_set_header Upgrade $http_upgrade;proxy_set_header Connection "upgrade";}
}

3. Nginx 生效：

sudo nginx -t # 检查配置语法
sudo systemctl reload nginx # 平滑重载

此时如果本地 LLM 服务已经启动，在浏览器访问 应该能看到返回结果。

常见故障排查：

• 确认本地服务绑定在 Tailscale IP 而不是 127.0.0.1. 若绑定在回环地址，请改为 .
• Nginx 报错 “502 Bad Gateway” 时检查防火墙、Tailscale 状态还有服务端口是否正确。
• If you see “connection reset by peer”,verify that service supports HTTP/1.1 .

开启 HTTPS

TLS 能解决「明文传输」和「IP 暴露」两个痛点。不过，使用 Certbot 免费获取 Let’s Encrypt 证书：

sudo dnf install certbot python3-certbot-nginx -y # 对于基于 RHEL/CentOS 的程序
sudo certbot --nginx -d test.myname.top
# 按提示输入邮箱、同意条款即可自动完成 Nginx 配置与证书续期设置

*注意*：启用 HTTPS 后如果你的本地 LLM 接口只监听 HTTP。需要在 Nginx 中添加 #proxy_set_header X-Forwarded-Proto https;` 或者让后端自行识别 HTTPS，否则可能出现跨协议错误。

& 后续展望

This setup effectively turns a local LLM instance into a public‑facing API without paying for commercial tunneling services or dealing with constantly changing IP/端口.

• Tailscale 提供点对点加密通道，避免公开暴露内部网络；
• Nginx + DNS+HTTPS 为外部调用提供友好的统一入口；
• No recurring SaaS fees – only a cheap cloud VM and a domain name.

Caution:

• If you expose a web UI,remember国内备案等合规要求；更安全的做法是仅提供 REST / gRPC 接口而非完整页面。
• The solution’s稳定性仍然受限于两端网络质量和 Tailscale 的 DERP 中继；对关键业务场景建议直接在云上部署服务。
• Tailscale 免费版有设备数量限制，如需大规模节点请考虑升级套餐。其实，

A final thought: By leveraging “算力在本地、流量在云端”的思路。你可以把废旧电脑、GPU 硬件重新激活，用来跑私有化的大模型推理，而不必受限于传统云算力配额。说起来，未来我计划尝试把多台本地机器通过 Tailscale 建立分布式推理网关。再配合 Kong/Traefik 做负载均衡——敬请期待！🚀