自建私网
自建私网用于把外出设备、异地住宅或服务器加入虚拟网络。MSM 可以同时管理 EasyTier、Tailscale 和 WireGuard；每个引擎拥有独立配置、成员、运行状态、日志与诊断，不再是三选一向导。
仅连接已授权成员
私网可以让远端设备获得内网路由。只向可信成员发放凭据，只发布必要网段；成员离开或凭据暴露后应立即撤销和轮换。
该模块属于 Pro 功能，并受 系统设置 → 功能开关 → 自建私网 控制。管理员和操作员可以配置，查看者只能读取状态。
三种服务可以并存
| 引擎 | 适合场景 | 主要特点 |
|---|---|---|
| EasyTier | 快速点对点组网、公共或自建 Peer | 配置直观，可发布家庭 LAN 路由 |
| Tailscale | 已使用 Tailscale / Headscale 控制面 | 自动注册设备，可接受路由或发布出口节点 |
| WireGuard | 追求简单、高性能和完全可控 | 明确管理 Endpoint、地址、Peer 与 AllowedIPs |
三个服务可以同时配置和启动，但必须避免虚拟网段、接口名、监听端口与发布路由重叠。并存不等于把同一网段重复发布给所有引擎；应为不同设备或冗余路径设计清晰优先级。
配置服务
进入 内网穿透 → 自建私网。页面固定显示三个服务卡片：
- 在目标服务卡片点击 配置。
- 在弹窗中设置身份、虚拟地址、连接方式和高级参数。
- 保存配置并按需安装对应二进制。
- 独立启动该服务，再执行诊断。
- 使用 添加设备 生成当前引擎的接入资料。
启用自动启动后，MSM 会在正常重启或主机重启后恢复该服务。手工停止会被记住，不会被运行时自愈误启动。
EasyTier
EasyTier 支持公共中继和自定义 Peer：
- 可启用公共节点快速建立连接。
- 可填写一个或多个域名、IP 形式的初始 Peer。
- Peer 使用域名时，MSM 会把域名同步到 MosDNS 直连名单，避免代理 DNS 改写连接目标。
- 可发布家庭 LAN 路由，让远端访问局域网。
- 接入资料包含网络名称、节点信息和共享密钥。
公共节点适合快速验证；生产环境应评估可用性、隐私与延迟，并按需部署自己的 EasyTier Peer。共享密钥可让设备加入整个网络，只能通过可信渠道传递。
Tailscale / Headscale
Tailscale 服务可以使用官方控制面或自建 Headscale：
- 填写 HTTPS 控制服务器地址。
- 使用控制面签发的 Auth Key 注册当前设备。
- 可接受其他节点发布的路由。
- 可发布当前家庭 LAN 路由或出口节点。
保存的 Auth Key 不在普通响应中明文回传。一次性 Key 完成注册后可在控制面撤销。更换登录服务器时必须使用新控制面签发的 Key。
WireGuard
WireGuard 需要一个远端可达的 Endpoint。设置弹窗支持：
- 直连检测到的公网 IPv4 / IPv6。
- 选择域名服务中已验证的 DDNS 域名。
- 手动填写域名或地址。
同时设置监听端口、虚拟网段、本机地址和需要发布的家庭 LAN CIDR。使用公网 Endpoint 时，还需在路由器与防火墙中放行并转发对应 UDP 端口。
DDNS 必须先就绪
页面会显示 DDNS 域名的验证状态。不要选择仍在等待传播或同步失败的域名作为生产 Endpoint。
添加成员
点击 添加设备 并选择目标引擎。MSM 会按引擎生成接入资料：
- WireGuard 返回客户端配置；客户端私钥只在创建时返回一次。
- EasyTier 返回加入网络所需参数和共享密钥。
- Tailscale 引导设备加入同一控制面，并显示后续确认信息。
发布远端 LAN 路由前确认两端网段不冲突。例如两地都使用 192.168.1.0/24 时，路由无法判断目标站点，应先调整一侧网段。
运行状态、日志与诊断
每张卡片都能独立启动、停止、重启、查看日志和运行诊断。EasyTier 与 Tailscale 也会出现在统一进程管理和日志服务列表中。
诊断会核对：
- 二进制和配置是否存在。
- 进程是否运行，虚拟接口与地址是否建立。
- Endpoint / 控制面 / 初始 Peer 是否可达。
- 成员是否在线，握手是否更新。
- 发布路由是否生效。
“服务运行”只证明本机进程存在。最终验收必须从外出设备访问 MSM 虚拟地址及至少一个家庭 LAN 设备。
并存时的排错顺序
- 确认三个服务使用不同虚拟 CIDR 和接口名。
- 检查 WireGuard 与 EasyTier 的监听端口没有冲突。
- 不要让多个服务同时发布完全相同的默认路由或家庭网段，除非已明确设置路由优先级。
- 查看对应服务自己的日志；
terminate signal received通常表示被正常停止或重启，不等于引擎互斥。 - 若只能访问 MSM、不能访问 LAN，检查 IP 转发、家庭设备回程、防火墙和远端是否接受路由。
常见问题
WireGuard 无法握手
验证 Endpoint 解析结果、UDP 端口转发、客户端时间、密钥和 AllowedIPs。请从真正外网测试，避免 NAT 回环干扰。
Tailscale 保存后无法注册
控制服务器必须是有效 HTTPS 地址；Auth Key 必须属于该控制面。Headscale 用户还需检查预授权、用户和路由批准。
EasyTier Peer 域名无法连接
先用网络工具直连解析域名，再确认它已进入 MosDNS 直连名单。检查 Peer 的协议、端口、共享密钥和目标节点监听状态。
下一步
- Cloudflare 内网穿透 - 发布浏览器可访问的 Web 服务
- 域名服务 - 为 WireGuard 准备 DDNS
- 网络工具 - 检查端口、路由和链路质量