节点名称与别名
节点运行状态同时展示三种身份，避免管理操作把显示名称和主机实际名称混为一谈：
- 节点名称：Headscale/Tailnet 中的节点名称，例如
agentmeshos-main。 - 主机名：从节点本机或遥测上报的真实主机名，例如 Linux 的
hostname或 Windows 的COMPUTERNAME。 - 节点别名：AgentMeshOS 管理命令使用的短名称。
📚 目录
📌 结论摘要
截至 2026-10-06，Headscale 权威节点表共登记 15 台节点。当前实时检查为 11 台在线、4 台离线。在线节点为 rr、101、102、d02、mm、home、dd、dog-public、nas-sz、little-s20 和 honor-magic2；101 已对远端节点执行 SSH 身份回读，全部返回预期主机名、登录用户和 Tailnet IP。little-s20 由 Termux、Termius 和 TermRover 作为移动 SSH 发起端完成九个在线目标的身份回读，身份由 Tailnet DNS 名 andriod-s20、显示名 Little 的 S20+ 和地址 100.64.0.8 共同绑定，协议层拼写保留现场值。S20 已于 2026-10-04 17:41:52 CST 完成第二次受控重启，用户只解锁屏幕，Tailscale 在 18:17:50 自动恢复在线，RR 资源遥测在 18:18:17 恢复，证明 Always-on VPN、Termux:Boot 和探针循环均已生效；19:14 CST 再次重启后，Tailnet-only 入站 sshd 在约 204 秒后恢复，RR、101、Home 均重新登录成功。VPN 接口重建曾使旧 sshd 留下失效监听，S20 上已实装的 v0.2.0 supervisor 自动重建并完成三来源复核；当前仓库脚本已扩展为 v0.3.0 并用于 Magic2。honor-magic2 已由 Home 通过 USB ADB 完成纳管，Tailnet 地址为 100.64.0.13；其入站 sshd、Termux:Boot、Android 探针 v0.3.8 和整机重启恢复均已通过，RR 已收到真实快照，但 2026-10-06 现场重新检查发现 Termux/ADB 仍未恢复，当前资源快照为 stale。S20 新探针 v0.4.0 已通过 101 的 ADB bridge 恢复实时上下行；Magic2 需重新建立 Home 的 ADB 会话后升级到同一版本。Magic2 的 Termux、Termius 和 TermRover 已保存九个目标，TermRover 另完成 RR 与 101 真机登录；Exit Node 和 Gemini 真实对话也已通过。RR、101 和 Home 仍是三个同级系统管理入口；S20 与 Magic2 是获用户授权的移动管理客户端，不是新的控制面。DD、MM、d02、dog-public 和 nas-sz 仍不是新增管理员来源。依据是 101 上执行的 tailscale status --json、RR 上的 headscale nodes list -o json，以及本页下方逐个显式指定地址、端口、用户和 IdentityFile 的 SSH 结果。
| 统计口径 | 数量 | 节点 |
|---|---|---|
| Headscale 当前登记 | 15 | 全部在线与离线节点 |
| 当前在线 | 11 | rr、101、102、d02、mm、home、dd、dog-public、nas-sz、little-s20、honor-magic2 |
| 当前离线 | 4 | mac-mini、windows-summer、benson-nb、officesummer |
| 当前不在 Headscale 权威表 | 5 | 103、jj、旧 office、redmi-3s、旧 office-iphone |
当前固定别名映射与现场连接登记如下。表内“在线”来自 Headscale 与 Tailscale 实时状态；“已验证”只表示 2026-10-03 从 101 显式直连并回读了目标身份。离线 或“不在权威表”不得作为当前可用入口。
| 别名 | 主机名 | Tailnet 节点名称 | Tailnet IP | 平台 | 当前状态（2026-10-03） | 当前 Tailnet 路径 | SSH 入口 |
|---|---|---|---|---|---|---|---|
rr |
rr |
linux-rr |
100.64.0.1 |
Ubuntu | 在线；公网与 Tailnet 均已验证 | 公网直连 96.44.133.235:41641 |
root@100.64.0.1:47522；公网别名同端口 |
101 |
pcdell-101 |
linux-pcdell-101 |
100.64.0.2 |
Ubuntu | 在线；当前执行主机 | 本机 | root@100.64.0.2:10122 |
102 |
pcdell-102 |
linux-pcdell-102 |
100.64.0.4 |
Ubuntu | 在线；Tailnet 与有线入口均已验证 | 局域网直连 192.168.50.202:41641 |
root@100.64.0.4:10222；有线 192.168.50.102:10222 |
d02 |
d02-dedirock |
linux-d02-dedirock |
100.64.0.5 |
Ubuntu | 在线；公网与 Tailnet 均已验证 | 公网直连 107.172.186.4:41641 |
root@100.64.0.5:10202；公网 107.172.186.4:10202 |
mm |
r1049668 |
linux-mm |
100.64.0.6 |
Debian | 在线；公网与 Tailnet 均已验证 | 公网直连端点运行时解析，不写入仓库 | root@100.64.0.6:10496；公网 edge.yohan.fun:10496 |
home |
Home |
windows-home |
100.64.0.7 |
Windows | 在线；Tailnet 身份已验证 | 局域网直连 192.168.50.237:41641 |
Administrator@100.64.0.7:22 |
dd |
dedirock-717106053 |
linux-dd |
100.64.0.9 |
Ubuntu | 在线；公网与 Tailnet 均已验证 | 公网直连 192.227.170.39:41641 |
root@100.64.0.9:17106；公网同端口 |
dog-public |
dog |
linux-dog-public |
100.64.0.3 |
Ubuntu | 在线；公网与 Tailnet 均已验证 | 公网直连 173.249.205.221:41641 |
root@100.64.0.3:36406；公网 173.249.205.221:36406 |
nas-sz |
SZ-YohanNAS |
nas-sz |
100.64.0.10 |
QNAP | 在线；Tailnet 身份已验证 | 局域网直连 192.168.9.99:41641 |
admin@100.64.0.10:22 |
little-s20 |
Little 的 S20+ |
andriod-s20 |
100.64.0.8 |
Android | 在线；2026-10-04 17:41:52 CST 受控重启后 Tailscale 于 18:17:50 自动恢复，资源遥测于 18:18:17 恢复；19:14 再次重启后入站 sshd 约 204 秒恢复；supervisor 已在 VPN 接口重建后自动恢复监听；Termux、Termius、TermRover 九目标验证已通过；v0.4.0 已由 101 ADB bridge 恢复实时上下行 |
Tailnet 100.64.0.8 直连 192.168.50.195:53709 |
Tailnet-only 入站 SSH 100.64.0.8:8022，用户 u0_a355，只接受 RR、101、Home；VPN 断开后由 supervisor 重建监听；无线调试仅按需开启 |
honor-magic2 |
TNY-AL00 |
andriod-magic2 |
100.64.0.13 |
Android | 在线；Home USB ADB 历史纳管；Termux、Termux:Boot、Tailscale 与探针 v0.3.8 已安装；TermRover 9 saved 并完成 RR/101 真机登录；Exit Node 与 Gemini 真机对话通过；2026-10-06 现场 8022 拒绝连接、Home adb devices 为空、RR 快照为 stale |
DERP agentmeshos-mm，当前无直连 UDP |
Tailnet-only 入站 SSH 100.64.0.13:8022 当前不可用；恢复后仍只接受 RR、101、Home，不开放密码、公网和局域网入口 |
mac-mini |
mac的Mac mini |
mac-mini-104 |
100.64.0.14 |
macOS | 离线；最后在线 2026-09-10 01:17:53 +08 | 未建立 | 历史 administrator:22，当前不可用 |
windows-summer |
summer |
windows-notebook-summer |
100.64.0.12 |
Windows | 离线；最后在线 2026-09-28 15:23:05 +08 | 未建立 | 历史 administrator:22，当前不可用 |
benson-nb |
benson-nb |
windows-Notebook-benson |
100.64.0.15 |
Windows | 离线；最后在线 2026-09-12 15:38:49 +08 | 未建立 | 当前无可用 SSH 入口 |
officesummer |
officesummer |
Windows-officesummer |
100.64.0.16 |
Windows | 离线；最后在线 2026-09-30 18:18:13 +08 | 未建立 | 历史 administrator:22，当前不可用 |
“Tailnet 节点名称”统一取 Headscale 的 given_name，也就是 Headplane 机器列表 Name 列显示的那一个值；改名后下一次拓扑快照和节点清单会自动跟随，不需要在仓库里改常量。Headscale 的 name 字段保留客户端注册时上报的主机名（例如 Magic2 是设备码 TNY-AL00），只在节点没有 given_name 时作为回退，且仍以“OS 主机名”单独展示，不再冒充 Tailnet 节点名。
2026-10-03 的 Tailscale JSON 中，9 台在线节点全部具有非空 CurAddr，表示当前 Tailnet 流量均走直接路径；Relay=agentmeshos-mm 只表示可用的 DERP 兜底身份，不表示当前正在经 DERP 转发。这个区分影响排障口径：不能因为 Relay 字段存在就把直连节点误判为 DERP 路径。
以下历史别名不属于当前权威节点表，必须保留旧记录但禁止继续按旧地址连接：
| 历史别名 | 历史身份 | 旧地址 | 2026-10-03 处理 |
|---|---|---|---|
103 |
agentmeshos-worker-pcdell-103 |
旧 100.64.0.5:10322 |
当前不在 Headscale 表；100.64.0.5 已由 d02 使用 |
jj |
agentmeshos-worker-jj |
旧 100.64.0.11:10503 |
当前不在 Headscale 表，不能沿用旧端口状态 |
office |
agentmeshos-office-windows |
旧 100.64.0.4:22 |
当前不在 Headscale 表；100.64.0.4 已由 102 使用，系统 SSH 旧别名已移除 |
redmi-3s |
旧 Android 节点 | 旧 100.64.0.8 |
当前不在 Headscale 表；该地址已重新分配给 little-s20，不得再按 redmi-3s 解释 |
office-iphone |
旧 iOS 节点 | 旧 100.64.0.3 |
当前不在 Headscale 表；100.64.0.3 已由 dog-public 使用 |
102 的 ED25519 主机指纹为 SHA256:0E60z8bMJx1gLcgzIJLhXmnDlnt4qYtJtpf6vRQO5Sw，有线与 Tailnet 两个入口返回同一主机身份。
本表的实时节点统计以 tailscale status --json 和 RR 上的 headscale nodes list -o json 为权威来源；SSH 身份以显式目标、端口、用户和 IdentityFile 的回读结果为证据。历史现场过程仍保留在节点网络端口现场验证记录，该页不得覆盖本页 2026-10-03 的当前地址绑定。
别名由 API 优先按 Headscale 节点名称、再按当前 Tailnet 地址绑定；这样节点重新注册导致地址变化时，mac-mini 仍不会失效。后续输入 rr、101、home 或 mac-mini 时，Runtime 和节点管理流程都应先解析到这张映射，再执行 SSH、遥测或部署操作。
🧭 别名与职责分类的边界
别名只负责解析“要连接哪台机器”，主职责、服务职责、能力和运行状态由 tools/node-registry/registry.json 四轴模型定义。节点名称或主机名变化时，别名和实时主机名可以更新；primary_role 不因名称变化、重新上线或部署某个服务而自动改变。
| 别名 | 当前主职责 | 当前服务职责摘要 | 当前能力摘要 | 说明 |
|---|---|---|---|---|
rr |
生产控制面 | AI Runtime、Headscale、Headplane、Nomad Server、控制面 API | Exit Node | 控制面写权威；不作为 Edge 主机 |
101 |
项目交付与发布协调 | CI Runner、发布协调、节点清单 | 无额外能力 | 管理入口之一，但不是生产控制面 |
102 |
计算节点 | OmniRoute、Nomad Client、节点遥测、只读备用控制面 | 批量计算、自动部署 | 生产模型访问与计算节点 |
d02 |
公网边缘 | 公网边缘代理、DERP、Peer Relay、Nomad Client、节点遥测 | Edge、DERP、Peer Relay、Exit Node | Edge 候选；公网与 Tailnet SSH 双入口 |
mm |
公网边缘 | 公网边缘代理、DERP、Peer Relay、节点遥测 | Edge、DERP、Peer Relay、Exit Node | 当前活动 Edge；region 900 |
dog-public |
公网边缘 | 公网边缘代理、DERP、Peer Relay、ThreeDogs、Nomad Client、节点遥测 | Edge、DERP、Peer Relay、Exit Node | 主机名显示为 dog，不改变别名和主职责 |
dd |
存储节点 | Cloudreve、DERP、Peer Relay、节点遥测 | Edge、DERP、Peer Relay、Exit Node | 主职责存储，多能力不等于多主职责 |
home |
管理入口 | SSH 管理、Windows 管理、Codex Host Bridge | 无额外能力 | Windows 同级管理来源 |
nas-sz |
NAS | NAS 存储、节点遥测 | 无额外能力 | 用户存储资源 |
mac-mini、windows-summer、benson-nb、officesummer |
管理入口 | 无 | 无额外能力 | 当前离线；重新上线后仍需复核实时状态 |
little-s20 |
客户端 | Android 探针、SSH 管理 | 无额外能力 | 已纳管、系统管理客户端，支持九个出站目标和 RR/101/Home 三个 Tailnet 入站来源；现场名为 Little 的 S20+，Tailnet DNS 名为 andriod-s20 |
honor-magic2 |
客户端 | Android 探针、SSH 管理 | 无额外能力 | 已纳管、系统管理客户端；Tailnet 节点名 andriod-magic2，支持 RR/101/Home 三个 Tailnet 入站来源；Termux、Termius、TermRover 均已配置九个出站目标并完成 RR/101 TermRover 登录；Gemini 真机对话通过 |
拓扑中的主机名来自节点本机或 node_exporter 实时回读，不能再用静态别名冒充主机名。dog-public 的 Tailnet 节点名与别名保持稳定，而 host_name=dog 会随主机现场更新；Console 节点详情同时显示 Tailnet 名称、DNS 名称、OS 主机名和主机名来源，便于区分名称漂移与拓扑数据缺失。
🔐 SSH 管理路径矩阵（2026-10-03 基线，2026-10-04 补充 S20 入站）
RR、101 和 Home 是同级系统管理来源，三者都具备主动 SSH 管理权限，且每一台都可管理所有在线受管节点；该原则不限于 NAS，也不因目标平台是 Linux 或 Windows 而改变。little-s20 与 honor-magic2 经用户明确授权登记为移动 SSH 管理客户端；RR、101、Home 可通过 100.64.0.8:8022 和 100.64.0.13:8022 反向管理两台 Android 设备。两台设备的入站服务只监听 Tailnet，不使用密码、公网或局域网入口，也不是新的控制面。DD 与 MM 只保留被授权节点发起连接的能力，不增加主动管理其他节点的出站权限；DD 的存储权限和 MM 的边缘代理权限不因 SSH 路径配置而扩大。
| 发起节点 | RR |
101 |
Home |
102 |
d02 |
dog-public |
nas-sz |
DD |
MM |
little-s20 |
honor-magic2 |
|---|---|---|---|---|---|---|---|---|---|---|---|
101 |
公网 + Tailnet | 本机 | Tailnet | Tailnet + 有线 LAN | 公网 + Tailnet | 公网 + Tailnet | Tailnet | 公网 + Tailnet | 公网 + Tailnet | Tailnet | Tailnet |
Home |
公网 + Tailnet | Tailnet | 本机 | Tailnet | 公网 + Tailnet | Tailnet | Tailnet | 公网 + Tailnet | 公网 + Tailnet | Tailnet | Tailnet |
RR |
本机 | Tailnet | Tailnet | Tailnet | 公网 + Tailnet | 公网 + Tailnet | Tailnet | 公网 + Tailnet | 公网 + Tailnet | Tailnet | Tailnet |
little-s20 |
Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | 本机 | 不配置 |
honor-magic2 |
Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | Tailnet | 不配置 | 本机 |
DD |
不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 本机 | 不配置 | 不配置 | 不配置 |
MM |
不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 不配置 | 本机 | 不配置 | 不配置 |
各端使用显式别名，不依赖 SSH 自动猜测路径：
101：rr/dd/mm为 Tailnet 主别名，rr-public/dd-public/mm-public为公网别名；mm-public的HostName为edge.yohan.fun。dog-public与dog-public-tailnet分别固定公网173.249.205.221:36406和 Tailnet100.64.0.3:36406。101：102使用agentmeshos-101-to-102，端口10222；nas-sz使用admin@100.64.0.10:22。旧的office别名因100.64.0.4已被 102 占用而移除；Office 节点若重新注册，必须先取得新地址和新公钥授权后再恢复别名。101：d02/d02-public固定公网107.172.186.4:10202，d02-tailnet固定 Tailnet100.64.0.5:10202。Home：rr/dd/mm为公网主别名，rr-tailnet/dd-tailnet/mm-tailnet为 Tailnet 别名；mm的HostName为edge.yohan.fun；102与nas-sz使用当前 Tailnet 地址，不再保存可能漂移的局域网管理地址。Home：d02/d02-public固定公网107.172.186.4:10202，d02-tailnet固定 Tailnet100.64.0.5:10202。RR：dd/mm为公网主别名，dd-tailnet/mm-tailnet为 Tailnet 别名；dog-public为公网别名，dog-public-tailnet为 Tailnet 别名；d02/d02-public固定公网107.172.186.4:10202，d02-tailnet固定 Tailnet100.64.0.5:10202；mm的HostName为edge.yohan.fun，到101、Home只配置 Tailnet。- Android 入站：RR、101、Home 分别显式连接
u0_a355@100.64.0.8:8022和u0_a199@100.64.0.13:8022；两台设备都不接受公网、局域网、密码、代理转发、端口转发、X11 或隧道。当前授权都只包括agentmeshos-rr-management、root@pcdell-101-to-rr和administrator@Home三把公钥。v0.3.0supervisor 在 Tailscale 接口重建、PID 变化或日志出现accept: Invalid argument时自动重建失效监听。
SSH 的 Host 支持用空格声明多个本地别名，但 HostName 只接受一个目标地址。公网和 Tailnet 必须使用两个独立 Host 块，不能把两个 IP 写入同一个 HostName 后期望 SSH 自动切换。
管理公钥与权限边界
下列指纹只标识公钥，不记录私钥内容。RR、101、Home 是当前管理员来源；Mac mini 的两个授权按用户要求暂缓保留，但不列为当前管理员。
| 公钥名称或注释 | SHA256 指纹 | 当前用途 | 权限边界 |
|---|---|---|---|
agentmeshos-rr-management |
SHA256:zxeLmkFBgTbn0pHc4v/WeKCX7HKT+1kPKWq5xxUmTCM |
RR 同级管理来源 | RR、101、102、Home、DD、MM、dog-public、NAS、little-s20、honor-magic2 接受 |
root@pcdell-101-to-rr |
SHA256:GMJOKiuicF24QX5IWRvQUchY+z9ay3Vr+T72vXtFIZQ |
101 对 RR、DD、MM、dog-public、NAS、little-s20、honor-magic2 等节点的管理公钥 | 不用于 102；102 使用下列专用密钥 |
agentmeshos-101-to-102 |
由 101 本机 /root/.ssh/agentmeshos-101-to-102.pub 标识；私钥不登记 |
102 专用管理公钥 | root@100.64.0.4:10222 与 root@192.168.50.102:10222 接受 |
administrator@Home / administrator@Homes |
SHA256:Uz+Sg9Xy8NNbteev9U5e2E3gJx1EO2h/ixwtKMx336s |
Home 同级管理来源 | RR、DD、MM、NAS、little-s20、honor-magic2 及 Windows 节点 Summer、OfficeSummer 接受；注释拼写在 DD/MM 上保留但不改变权限 |
agentmeshos-s20-management |
SHA256:WIokvREOfeTluvNUrhXItIK4d73xs0uskzdnYvUB+38 |
S20 Termux 移动管理 | 九个在线节点接受；只作为 S20 出站钥匙，不授予 S20 入站登录 |
little-s20-termius |
SHA256:1BOo4SRE9qnitM5V3NQmJKO2ZpiSkJVg6qg0R8Yk/R4 |
S20 Termius 移动管理 | 九个在线节点接受；只作为 S20 出站钥匙，不授予 S20 入站登录 |
little-s20-termrover |
SHA256:yBpFXxVEEH5y67GrCrzrT6BwD2kGVxoxmw55pbfrbik |
S20 TermRover 移动管理 | 九个在线节点接受；只作为 S20 出站钥匙，不授予 S20 入站登录 |
honor-magic2-termrover |
SHA256:j6X84hL6Pqvi75ODDXyKNMDlHUtZ53ODiqgqQEPoZRE |
Magic2 TermRover 移动管理 | 九个在线节点接受；只作为 Magic2 出站钥匙，不授予 Magic2 入站登录 |
agentmeshos-rr-release |
SHA256:R9gO7pLbmKCyq4i9FY/9quWyA241ZmPgQhQ2Nbnyc7k |
RR 受控发布 | command=、禁用转发和 PTY，只能调用发布入口 |
mac-mini-to-agentmeshos |
SHA256:ooKydED3rSxKHDG6qddE2TNU5DsVn6TGanfPRbnls+M |
Mac mini 历史授权 | 暂缓保留，不列为当前管理员 |
administrator@macmini |
SHA256:2PJ77k1PyrutPiZgeNbZQ40zFeAUgIM9z84h7g5AdRk |
Mac mini 历史授权 | 暂缓保留，不列为当前管理员 |
rr-gemini-egress |
SHA256:PQQlyJU7Cd/bg65NSwSGSj2Ni1nwMK/u0MB87Xp/vRE |
已退役的 RR Gemini 历史出口 | 不得用于恢复自建服务；如需清理另立凭据撤销任务 |
2026-10-03 从 101 进行的身份回读结果如下。所有连接都显式指定目标地址、端口、用户和 IdentityFile，没有依赖 SSH 自动猜测：
| 目标入口 | 用户 | 回读结果 |
|---|---|---|
rr-public 与 rr-tailnet |
root |
两个入口均返回 rr、100.64.0.1 |
dd-public 与 dd-tailnet |
root |
两个入口均返回 dedirock-717106053、100.64.0.9 |
mm-public 与 mm-tailnet |
root |
两个入口均返回 r1049668、100.64.0.6 |
d02-public 与 d02-tailnet |
root |
两个入口均返回 d02-dedirock、100.64.0.5 |
dog-public 与 dog-public-tailnet |
root |
两个入口均返回 dog、100.64.0.3 |
102 Tailnet 与有线 LAN |
root |
两个入口均返回 pcdell-102、100.64.0.4 |
nas-sz Tailnet |
admin |
返回 SZ-YohanNAS；远端 shell 无 tailscale 命令，身份与地址由 Headscale 权威表补充核验 |
home Tailnet |
Administrator |
PowerShell 返回 Home、home\administrator、100.64.0.7 |
上表的 101 远端回读覆盖 8 台在线远端节点；101 自身身份由 hostname=pcdell-101 与 tailscale ip -4=100.64.0.2 在本机确认。little-s20 与 honor-magic2 的三个入站来源是 2026-10-04 至 2026-10-05 的真机补充验收，不与 2026-10-03 的批量回读混成同一批测试。2026-09-30 从 Home 和 RR 发起的管理路径验收仍作为历史权限矩阵证据保留。
负向权限验证结果如下：
| 来源 | 测试 | 结果 | 判定 |
|---|---|---|---|
DD |
自身 /root/.ssh 私钥计数与主动连接 RR |
私钥数为 0；明确禁用密码后 Permission denied (publickey) |
未获得反向管理权限 |
MM |
自身 /root/.ssh 私钥计数与主动连接 RR |
私钥数为 0；明确禁用密码后 Permission denied (publickey) |
未获得反向管理权限 |
公网与 Tailnet 的主机身份也必须一致：RR 两个入口的 ED25519 指纹均为 SHA256:/8tH3u3RwLIgAm93uzVoDumCeYU5BUwRVW/aZYsl1k8，MM 两个入口均为 SHA256:mdvE9b1arSpCRqDNpvt3ZP0f4YV2RVFjuIcTrPIXU7k；DD 两个入口返回相同的 RSA 指纹 SHA256:eSKA3H1+VxlKTjbGFKNVxQQeH2tQR5Pz0vsjJDE3Id0。
Home 的 Windows OpenSSH 默认 shell 已确认是 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe，PowerShell 版本为 5.1.19041.6093；因此远程非交互命令不再默认落在 cmd.exe。
🧭 Tailscale 客户端基线（2026-09-30）
Tailscale 官方 stable 当前版本为 1.102.4。本轮先逐节点盘点，再通过各节点可用的独立管理入口升级，避免 Tailscale 服务重启造成管理通道中断。
| 节点 | 平台 | 客户端版本 | 验收结果 |
|---|---|---|---|
rr |
Ubuntu / deb | 1.102.4 |
active/enabled、Running、Health=[]、Exit Node 可选但默认不使用 |
101 |
Ubuntu / deb | 1.102.4 |
active/enabled、Running、Health=[]、偏好保持 |
102 |
Ubuntu / deb | 1.102.4 |
active/enabled、Running、Health=[]、偏好保持 |
d02 |
Ubuntu / deb | 1.102.4 |
active/enabled、Running、Health=[]、accept-dns=false、accept-routes=false、Exit Node 可选但默认不使用 |
dog-public |
Ubuntu / deb | 1.102.4 |
Running、Exit Node 可选但默认不使用 |
home |
Windows / MSI | 1.102.4 |
服务 Running、BackendState=Running、无健康告警、偏好保持 |
mm |
Debian / deb | 1.102.4 |
active/enabled、Running、Health=[]、Exit Node 可选但默认不使用 |
dd |
Ubuntu / deb | 1.102.4 |
active/enabled、Running、Health=[]、Exit Node 可选但默认不使用 |
nas-sz |
QNAP TS-X41 / arm-x41 | 1.102.4-1 |
QPKG enabled、Running、Health=[]、偏好保持 |
P16-0A 已完成。Exit Node 能力只覆盖 rr、mm、dd、d02 和 dog-public。这五台节点统一宣告 0.0.0.0/0 与 ::/0，Headscale 的 available_routes 与 approved_routes 均含双栈路由；101 回读五台为 ExitNodeOption=true、ExitNode=false、Online=true。五台 tailscaled 已逐台受控重启并重新通过同一回读。101 自身 ExitNode=false、ExitNodeID 与 ExitNodeIP 均为空；102、home 和 nas-sz 不进入目标集合，避免把其他管理或存储节点意外变成通用出口。
离线节点 mac-mini、windows-summer、benson-nb、officesummer 当前不能远程升级；103、jj 和旧移动节点也不在 2026-10-03 Headscale 权威表。它们重新上线后必须先回读实际版本，再按同一流程逐台升级，不能把“离线”写成“已升级”。
🧭 远程执行强制流程
每次新的 Codex 会话在执行远程 SSH 前，必须按以下顺序处理，不能根据上一次会话的上下文猜测当前主机或中转路径：
- 在本机执行
hostname和tailscale ip -4，将当前执行主机绑定到上表中的唯一别名；若当前主机已是目标，禁止再 SSH 回连自身。 - 从本页解析目标别名到其 Headscale 节点名称和当前 Tailnet 地址，并用
tailscale status或控制台节点状态核验目标在线。节点名称、主机名和别名是三种不同字段，不得互相替代。 - 使用当前执行主机已经登记、且被目标接受的 SSH 用户和私钥，直接连接目标 Tailnet 地址。默认链路为“当前主机 → 目标节点”，不经过
rr、已退役的office、Home 或其他节点。 - 只有目标就是该节点，或直接入口确实不可用且用户明确批准采用已登记的恢复路径时，才允许中转；中转前后均须重新执行目标主机身份核验。不能因为别名解析、已知主机指纹或密钥错误而自行改走
rr。 - 登录后立即核验目标
hostname、当前用户和 Tailnet 地址，再执行读取、迁移或修改；认证失败必须报告为认证问题，不能描述成节点离线、别名不存在或网络不通。
🧪 已验证 SSH 入口与故障分类
本表只登记实际连通后复核的管理入口；不记录私钥内容、口令或其他密钥材料。当前离线 条目只保留历史事实，不代表 2026-10-03 可连接。
| 发起节点 | 目标别名 | 用户 | 地址与端口 | 验收状态 |
|---|---|---|---|---|
101 |
little-s20 |
u0_a355 |
100.64.0.8:8022 |
2026-10-04 重启前后均返回 Android Shell；错误钥匙和密码登录均被拒绝 |
RR |
little-s20 |
u0_a355 |
100.64.0.8:8022 |
2026-10-04 返回 SM-G986U1 与 u0_a355；重启和 supervisor 修复后再次登录成功 |
Home |
little-s20 |
u0_a355 |
100.64.0.8:8022 |
2026-10-04 PowerShell 使用 C:\Users\Administrator\.ssh\id_ed25519 登录成功，重启和 supervisor 修复后再次登录成功 |
101 |
honor-magic2 |
u0_a199 |
100.64.0.13:8022 |
2026-10-05 使用 101 管理密钥登录成功；authorized_keys 精确回读为 RR、101、Home 三把公钥 |
RR |
honor-magic2 |
u0_a199 |
100.64.0.13:8022 |
2026-10-05 返回 Android Termux 身份；重启后 sshd 自动恢复 |
Home |
honor-magic2 |
u0_a199 |
100.64.0.13:8022 |
2026-10-05 PowerShell 使用 C:\Users\Administrator\.ssh\id_ed25519 登录成功 |
101 |
rr |
root |
100.64.0.1:47522 与公网 96.44.133.235:47522 |
2026-10-03 双入口均返回 rr |
101 |
dd |
root |
100.64.0.9:17106 与公网 192.227.170.39:17106 |
2026-10-03 双入口均返回 dedirock-717106053 |
101 |
mm |
root |
100.64.0.6:10496 与 edge.yohan.fun:10496 |
2026-10-03 双入口均返回 r1049668 |
101 |
d02 |
root |
100.64.0.5:10202 与公网 107.172.186.4:10202 |
2026-10-03 双入口均返回 d02-dedirock |
101 |
dog-public |
root |
100.64.0.3:36406 与公网 173.249.205.221:36406 |
2026-10-03 双入口均返回 dog |
101 |
102 |
root |
100.64.0.4:10222 与 192.168.50.102:10222 |
2026-10-03 双入口均返回 pcdell-102 |
101 |
nas-sz |
admin |
100.64.0.10:22 |
2026-10-03 返回 SZ-YohanNAS |
101 |
home |
Administrator |
100.64.0.7:22 |
2026-10-03 返回 Home 与 home\\administrator |
Home |
summer |
administrator |
100.64.0.12:22 |
历史已验证；2026-10-03 当前离线 |
Home |
officesummer |
administrator |
100.64.0.16:22 |
历史已验证；2026-10-03 当前离线 |
101 |
mac-mini |
administrator |
100.64.0.14:22 |
历史已验证；2026-10-03 当前离线 |
101 → home 曾被错误描述为“无法连接”。2026-09-08 的排查证明：Tailnet 节点在线且 TCP/22 可达，问题仅是 101 原先配置的 agentmeshos-101-to-rr 与 RR 的 id_ed25519 均未获 Home Windows OpenSSH 授权。Mac Mini 保存的 Home 专用管理密钥经实测有效，已在 101 以受保护的 agentmeshos-101-to-home 名称落地，权限为 0600，并由 101 直连再次验收。RR 不应作为后续 Home/Mac Mini 的跳板。
SSH 失败必须按以下顺序记录结论：
- 身份解析：确认当前主机、目标别名、Tailnet 地址和目标端口均来自本页或控制台实时状态。
- 传输层：检查目标在线、
tailscale ping和目标 TCP 端口；这一层失败才可称为网络或端口问题。 - 认证层：在 TCP 已通时，明确测试登记的用户与指定私钥；
Permission denied只能归类为授权/密钥问题，禁止擅自改走其他节点。 - 目标身份：认证通过后输出 ASCII 标记、目标主机名和远端当前用户，确认不是误连到其他节点。
🌐 MM 公网入口通道（2026-09-28）
edge.yohan.fun 是 mm-public（101/Home/RR 三处）的 HostName，也是 Home 上 Shadowsocks 客户端所用节点 mm-web 的服务器地址。2026-09-28 该域名的 AAAA 记录已删除，权威 NS（ns1/ns2.alidns.com）不再返回 IPv6，因此公网别名与 SS 客户端只走 IPv4。当前 A 记录和保留的 IPv6 对照地址都属于可替换运行时数据，只允许在受控环境按需解析或从 root-only 快照读取，不写入仓库。
| 通道 | 地址 | 用途与状态 |
|---|---|---|
| IPv4（主） | edge.yohan.fun 的当前 A 记录（运行时解析） |
公网别名、SS 隧道、50 路由 PassWall 节点 enjoy-mm#justhost#1049668 共用；已验证 |
| IPv6（对照通道，DNS 不再返回） | 仅从 MM 本机或 root-only 运行时快照读取，不写入仓库 | 保留对照能力。v4 不通时用于区分“v4 被限制”与“MM 主机/服务故障”，不依赖 DNS 解析 |
判定“MM 是否被限制”的探针不变量（2026-09-28 现场核实，全部为实测值）：
- Home 能否充当 MM 探针，取决于 SS 客户端的活动节点。当日现场先为
mm-web，随后由用户改为datou（108.165.154.231:52088）；活动节点不是 MM 时不存在 SS→MM 通道，该探测能力随之关闭。把它当探测器属有意设计，不是缺省兜底失败。 - 去 MM 的直连由
psw_vps（PassWall 节点地址集合）整体放行实现：规则ip daddr @psw_vps return，与负载均衡池成员无关。conntrack 实测 Home 地址到当前 edge 公网 IPv4 的39651端口经 WAN 直出（reply 侧dst=192.168.9.100，无 PassWall 代理标记）；当前 edge IPv4 不写入仓库。 - 50 路由负载均衡池（2026-09-28 快照）：
datou为主（backup=0），greencloud/rr/dd为备（backup=1），MM 不在池内，因此 MM 不会被用作出口；实测 Home 有线直出公网 IP =108.165.154.231。 - 只有把 MM 从节点列表移除，
psw_vps才会不含它，去 MM 的流量才可能被其他节点代理；仅把 MM 移出负载均衡池不影响该直连。 - AAAA 删除后 SSH 公网入口仍可用：2026-09-28 从 101 直连
root@edge.yohan.fun:10496回读r1049668。 - 副作用：Home 的 SS 隧道已从“无线 IPv6（不经 PassWall）”改为“有线 IPv4”，与浏览器兜底共用同一条物理路径；禁用有线网卡将同时中断 SS。
⚠️ 未决项 / 需要决策
| 未决项 | 当前事实 | 下一步 |
|---|---|---|
| Mac mini 授权 | 两个历史公钥仍保留在授权列表，但节点当前离线且不属于当前管理员 | 后续若上线，重新走双通道和权限矩阵验收；本阶段不删除 |
| MM 单向权限 | MM 没有私钥和主动管理入口，只接受管理员连接 | 若未来需要主动管理，必须由用户重新批准权限范围，不能复用当前登记自动放开 |
| DD 第二 DERP | 历史候选事项已归档冻结；当前保持直连优先和现有 DERP 兜底 | 不重新打开历史阶段；未来由用户明确提出后另行评审 |
| 离线节点 Tailscale 版本 | 当前无法回读 mac-mini、windows-summer、benson-nb、officesummer |
节点重新上线后逐台盘点、备份并升级到当前 stable；升级前不得宣称版本一致 |
| 历史节点重新纳管 | 103、jj、旧 office、redmi-3s、旧 office-iphone 均不在 2026-10-03 Headscale 权威表 |
重新接入后先取得新分配地址，再补录主机名、用户、端口、密钥和路径；禁止恢复旧地址 |