内网穿透与远程桌面：用 Tailscale 随时随地访问你的 Windows

发表于 2025-10-16 分类于技术工具，系统运维阅读次数：本文字数： 4.4k 阅读时长 ≈ 8 分钟

是否曾想在咖啡馆、酒店或任何有网络的地方，像坐在自己书房一样操作家里的电脑？无论是访问重要文件、运行特定软件，还是进行远程维护，直接访问一台不在身边的计算机都是一个常见的需求。

传统方法（如公网 IP + 端口转发）配置复杂且有安全风险。本文将介绍一种极其简单且安全的组合方案：Tailscale + Windows 远程桌面，让你轻松实现稳定、高效的远程访问。

🧩 一、网络基础概念速览

在深入主题之前，我们先快速过一遍几个核心的网络概念，这有助于你理解为什么需要“内网穿透”。

1. 网卡与 MAC 地址：硬件身份证

网卡 (NIC): 电脑连接网络（无论是有线还是无线）所必需的物理硬件。
MAC 地址: 烧录在网卡上的全球唯一的物理地址，由一串十六进制数字组成。它就像网卡的身份证号码，出厂即定，通常不可更改。

省流：网卡是电脑上网的硬件，MAC 地址是这张网卡的“身份证号”，全球唯一。

2. IP 地址：网络世界的门牌号

内网 IP (Private IP)：通常以 192.168.x.x、172.16.x.x 或 10.x.x.x 开头，是你在家庭或办公室局域网内的唯一标识。它就像你家小区里的“1栋101号”，只有小区内部的人才知道。
公网 IP (Public IP)：由你的网络服务提供商（ISP）分配的，是你在整个互联网上的唯一标识。它好比你家小区的“XX市XX区XX街道XX号”，是世界各地都能找到的地址。

省流：公网 IP 是你在互联网上的地址，全世界独一无二；内网 IP 是你在局域网内的地址，只在内部有效。

3. 路由器与 NAT：家庭网络大管家

路由器 (Router): 连接你家庭/办公室内部所有设备（构成一个局域网），并负责将这个局域网连接到互联网的设备。
NAT (网络地址转换): 这是路由器的核心功能之一。它允许多台内网设备通过共享同一个公网 IP 地址来访问互联网。当外部数据返回时，NAT 会根据记录，准确地将数据转发给局域网内正确的设备。

省流：路由器是家庭网络的网关，负责内外沟通。NAT 技术让很多内网设备能共用一个公网 IP 上网，但也因此把它们“藏”在了内网中，导致外网无法直接找到它们。

4. 端口：程序的服务窗口

如果说 IP 地址是一栋大楼的地址，那么端口号就是这栋楼里具体的房间号或窗口号。一台电脑上可以同时运行很多网络服务（网页服务、游戏、远程桌面等），操作系统就是用端口号来区分数据应该交给哪个程序处理。 - 80 端口通常用于 HTTP 网页服务。 - 443 端口用于 HTTPS 加密网页服务。 - 3389 端口是 Windows 远程桌面的默认端口。

省流：IP 地址用来定位电脑，端口号用来定位电脑上的具体程序（服务）。IP:端口号 才能精确找到目标。

5. 防火墙：网络世界的保安

防火墙是一个网络安全系统，它像一个保安，根据预设的规则来监控和控制进出网络的流量。它可以阻止未经授权的访问，保护你的电脑免受攻击。但有时，它也可能“过于尽职”，阻止了正常的远程桌面连接请求。

省流：防火墙是网络保安，按规则放行或拦截数据。它在保护安全的同时，也可能需要你手动设置“白名单”来允许特定连接通过。

6. VPN：虚拟的专用通道

VPN (Virtual Private Network) 的核心思想是在公共网络（如互联网）上建立一个加密的、虚拟的私人通道。连接到 VPN 的设备，即使地理位置分散，也仿佛置身于同一个局域网内，可以安全地互相通信。

省流：VPN 就像是在公共互联网上为你挖了一条加密的私人隧道，安全地连接两个或多个地方。

下面的图示总结了这些概念如何协同工作。从外部直接访问“电脑A”是非常困难的，因为它被路由器（NAT）和防火墙保护着。



graph TD
    subgraph "互联网 (Public Network)"
        Internet("🌐 Internet")
    end
    subgraph "家庭网络 (Private Network)"
        Router("路由器 <br/> NAT + 防火墙") --> PC1("电脑A <br/> 192.168.1.10")
        Router --> Phone("手机 <br/> 192.168.1.11")
    end
    Internet -- "公网 IP" --> Router

🚀 二、Tailscale：轻松实现内网穿透

要解决从外网访问内网设备的问题，就需要“内网穿透”，即打通内外网的壁垒。Tailscale 就是实现这一目标的“神器”。

1. Tailscale 是什么？

Tailscale 是一个基于 WireGuard® 协议构建的零配置 VPN 服务。WireGuard® 是一种现代化、高性能的 VPN 协议，以其代码简洁、速度快和安全性高而著称。Tailscale 在其基础上，增加了一个强大的自动管理层，能为你所有的设备（电脑、手机、服务器等）创建一个安全、扁平的私有网络，无论这些设备身处何地，都能像在同一个局-网中一样互相访问。

省流：一个基于先进的 WireGuard® 协议的“魔法”工具，能把你所有设备拉进一个虚拟局域网，让它们能用一个固定的内网 IP ( 100.x.x.x ) 互相访问，过程全自动。

2. Tailscale 工作原理

Tailscale 的优雅之处在于它简化了复杂的网络连接过程：

协调服务器：所有设备通过一个协调服务器（使用 Google、Microsoft 等账户登录）来交换各自的公钥和网络地址信息。这好比去一个中介那里登记自己的联系方式。
P2P 直连：设备拿到对方信息后，会尝试通过 NAT 穿透 技术建立一条点对点（P2P）的加密隧道。这是最高效的连接方式。
DERP 中继：如果因为网络环境限制无法直连，Tailscale 会自动通过它的全球中继服务器（DERP）来转发流量，确保连接永远可用，尽管速度可能会慢一些。

省流：设备们先去“中介”交换联系方式，然后尝试“直接通话”（P2P）。如果不行，就通过“传话筒”（中继）沟通。所有通话都是加密的，安全可靠。



graph TD
     subgraph "物理位置 A (咖啡馆)"
         Laptop("笔记本电脑")
     end
     subgraph "物理位置 B (家庭)"
         Desktop("台式机")
     end
     
     Coord["协调服务器<br/>(交换公钥和地址)"]
     DERP["DERP 中继<br/>(备用通道)"]
 
     Laptop -- "(1) 登录/注册" --> Coord
     Desktop -- "(1) 登录/注册" --> Coord
     
     Laptop -- "(2) 尝试建立直接连接 (P2P)" --> Desktop
     Laptop -. "(3) 若直连失败，通过中继连接" .-> DERP
     DERP -.-> Desktop
     
     style Laptop fill:#bbf,stroke:#333
     style Desktop fill:#bbf,stroke:#333
     linkStyle 2 stroke:green,stroke-width:2px;
     linkStyle 3,4 stroke:orange,stroke-dasharray: 5 5;

🖥️ 三、Windows 远程桌面 (RDP)

有了 Tailscale 打通网络，我们还需要一个工具来实际操作远程电脑。Windows 自带的远程桌面（RDP）就是最佳选择之一。

1. Windows 版本限制：不是所有版本都能“被远程”

这是最关键的一点：只有特定版本的 Windows 才能作为远程桌面主机（被连接）。Windows 家庭版只能作为客户端（去连接别人），不能被连接。

如果你的设备预装的是家庭版系统，可以考虑使用一些工具将其升级至专业版以解锁此功能，例如 HEU_KMS_Activator: https://github.com/zbezj/HEU_KMS_Activator/releases

Windows 版本	作为客户端 (连接别人)	作为主机 (被别人连接)
家庭版 (Home)	✅ 支持	❌ 不支持
专业版 (Pro)	✅ 支持	✅ 支持
企业版 (Enterprise)	✅ 支持	✅ 支持
教育版 (Education)	✅ 支持	✅ 支持

省流：想让你家的电脑被远程控制，系统至少得是 Windows 专业版。

你可以在 设置 -> 系统 -> 关于 中查看你的 Windows 版本。

2. 账户之谜：微软账户 vs. 本地账户

为了远程连接，目标电脑上的用户账户必须设置密码。这里就引出了另一个常见问题：使用哪种账户登录？

本地账户 (Local Account)：这是传统的 Windows 账户，信息只保存在当前这台电脑上，不与任何在线服务关联。
微软账户 (Microsoft Account)：使用你的邮箱（如 @outlook.com, @hotmail.com）登录，可以在多台设备间同步设置、壁纸等，并与 OneDrive 等微软服务深度集成。

进行远程连接时：

使用本地账户：这是最简单直接的方式。在远程桌面客户端中，直接输入你设置的用户名和密码即可。
使用微软账户：这里是许多人出错的地方。用户名不是你邮箱 @ 前面的部分，而是你的完整邮箱地址！例如，my_email@outlook.com。密码就是你的微软账户密码。

省流：远程桌面需要带密码的账户。用本地账户最省事。用微软账户时，用户名记得填完整邮箱地址。

⚡ 四、实战工作流总结

现在，我们将所有部分串联起来，形成一个简单清晰的操作流程：

安装 Tailscale：在你需要远程访问的电脑（主机）和你用来控制的设备（客户端，可以是另一台电脑或手机）上都安装并登录同一个 Tailscale 账户。
获取 IP 地址：在主机上，打开 Tailscale，找到并记下它分配的 100.x.x.x 格式的 IP 地址。这个 IP 地址是固定不变的。
开启远程桌面：确保主机是 Windows 专业版或更高版本。进入 设置 -> 系统 -> 远程桌面，打开开关。
检查用户账户：确保你计划用来登录的用户账户（无论是本地还是微软账户）已经设置了登录密码。
开始连接：在客户端设备上，打开远程桌面连接工具（Windows 自带，或从应用商店下载 Microsoft Remote Desktop），在“计算机”一栏输入主机上 Tailscale 的 100.x.x.x IP 地址，然后点击连接，按提示输入主机的用户名和密码。

完成！现在你已经可以随时随地、安全地访问你的远程主机了。整个过程无需任何复杂的网络配置，Tailscale 已经为你处理好了一切。