Question 1

如何修复 tailcat perf 在中继的 DERP 路径上使用整秒的 --timeout 时返回 "no reply to pings" 的问题？

Accepted Answer

这是 `waitForDirectPath` 中的一个超时边界 bug：当使用整秒超时（如 `--timeout=5s` 或默认的 `10s`）时，最后一次 ping 后可能距截止时间还剩约 1 秒，因此代码会再等待一秒，并在截止时间之后才发起下一次探测，从而丢弃了已经回复的中继路径。

临时解决方法：使用带小数的超时值，例如：

```bash
tailcat --json perf --via-derp --timeout=5.5s <tc-addr>
```

永久修复：将 `tailcat` 更新为包含 `perf-relayed-path` 分支修复的构建版本。该修复会保留最后一次测量到的路径，并在至少收到一个 pong 之后截止时间到期时将其返回；只有在完全未收到 pong 时才会报告 `no reply to pings`。在不使用 `--via-derp` 的情况下，tailcat 将报告预期的拒绝信息，而不是 ping 超时。

Question 2

如何修复 Nix tailcat 构建错误："go.mod requires go >= 1.27.1 (running go 1.27.0; GOTOOLCHAIN=local)"？

Accepted Answer

构建失败是因为 tailcat 提交 `9148b22` 需要 Go 1.27.1，而该 flake 的 nixpkgs 修订版本提供的是 `go_1_27` 1.27.0。在 `GOTOOLCHAIN=local` 的情况下，Nix 无法自动下载其他 Go 工具链。请更新到包含 “Fix, test nix flake” PR 的 tailcat 修订版本；该版本会从源码构建 Go 1.27.1，刷新过期的 vendor 哈希，并跳过在 Nix 沙箱中不稳定的测试。使用 `nix build github:tailscale/tailcat --refresh` 重新构建。如果 tailcat 是你自己 flake 的一个输入，运行 `nix flake lock --update-input tailcat`，然后重新构建。对于旧修订版本，可以暂时将 flake 指向 `pkgs.go_1_27` 为 1.27.1 的 nixpkgs 修订版本，或者将 `pkgs.go_1_27` 覆盖为 1.27.1。

Question 3

Tailcat `no-auth-ssh` 进程如何识别已认证对端的节点密钥？

Accepted Answer

升级到包含 PR #89 的 Tailcat 版本。对于通过 `--allow` 接受的连接，Tailcat 会在所服务的子进程环境中设置 `TAILCAT_PEER_KEY`。直接读取它即可，例如在 Go 中使用 `os.Getenv("TAILCAT_PEER_KEY")`。这样就无需为了识别对端而运行单独的 SSH 守护进程或要求第二个 SSH 密钥。嵌入式 Go 程序也可以使用 `Server.PeerKey`；当需要用户级 SSH 密钥时，PR #88 增加了对独立 SSH 公钥的支持。

Question 4

当 Server.Status() 返回空的 Peer map 时，如何检测 tailcat 客户端连接是直连还是通过 DERP 中继？

Accepted Answer

此问题已通过让 `locoBackend.Status()` 请求 peer 数据来修复。零值的 `ipnstate.StatusBuilder` 会使 `WantPeers` 保持为 false，因此 magicsock 和 wgengine 都会跳过各自的 peer 循环。请更新到包含 #116 修复的 tailcat 构建版本，或应用以下单行补丁：

```go
func (b *locoBackend) Status() *ipnstate.Status {
	mc := b.sys.MagicSock.Get()
	eng := b.sys.Engine.Get()

var sb ipnstate.StatusBuilder
	sb.WantPeers = true // 填充 Status.Peer 所必需的

mc.UpdateStatus(&sb)
	eng.UpdateStatus(&sb)
	return sb.Status()
}
```

然后检查已连接节点的 peer 状态：

```go
st := s.Status()
p := st.Peer[peerKey]

switch {
case p.CurAddr != "":
	// 直连 UDP 路径；p.CurAddr 是当前活动的端点地址。
case p.Relay != "":
	// 通过 DERP 中继；p.Relay 标识该中继。
default:
	// 尚无活动路径信息。
}
```

要将已接受的连接映射到其 `key.NodePublic`，请使用新增的 `Server.PeerKey` 访问器，而不是依赖 `RemoteAddr()`。仅跟踪 `RemoteAddr()` 无法区分直连路径与 DERP 中继。

Question 5

如何保护地址已发布在公共 DNS TXT 记录中的 tailcat SSH 服务器？

Accepted Answer

应将发布在公共 DNS 中的 tailcat 地址视为已泄露：其中包含隧道的预共享密钥，因此任何查询 TXT 记录的人都可以建立连接。请勿将 `tailcat serve no-auth-ssh` 与公共 DNS 记录一起使用。通过使用 `--allow ` 启动服务器来要求客户端身份验证，从而限制隧道访问；或者使用 `tailcat serve ssh --ssh-authorized-keys ` 强制进行 SSH 密钥身份验证。如果未经身份验证的地址已被发布，请删除或替换该 DNS TXT 记录，轮换/重新签发 tailcat 地址或预共享密钥，并验证来自未批准的节点或 SSH 密钥的连接会被拒绝。

tailcat

核心功能

避坑指南

适用场景

标签

快速上手

相似推荐