ZimaOS Tailscale-konfiguration: autentiseringsnyckel och fjärråtkomst

Om Tailscale-appen installeras i ZimaOS men ett klick på dess WebUI bara återför dig till ZimaOS-instrumentpanelen, betyder det inte nödvändigtvis att Tailscale-containern är trasig. Communitytråden från november 2024 började med exakt det symptomet i ZimaOS 1.2.5. Den användbara korrigeringen var att Tailscale främst konfigureras genom autentisering, miljövariabler och Tailscale CLI – inte genom ett konventionellt webbgränssnitt.

Det ursprungliga svaret rekommenderade att använda App Store-paketet och ange en autentiseringsnyckel för Tailscale via TS_AUTHKEY. En senare ZimaOS-tråd från 2025 bekräftade en annan fungerande väg: installera Tailscale och kör tailscale status i CLI:t, öppna inloggnings-URL:en som returneras och autentisera noden. Aktuell Tailscale-dokumentation för Docker stöder både arbetsflöden baserade på autentiseringsnyckel och inloggning, samtidigt som den rekommenderar beständigt tillstånd så att containern behåller samma nodidentitet efter omstarter.

Varför Tailscales ”WebUI”-länk kan vara missvisande

Den ursprungliga användaren förväntade sig att appen skulle öppna en administrationssida efter installationen. I stället återvände webbläsaren till ZimaOS startsida.

Installationsskärmen för ZimaOS App Store Tailscale från den ursprungliga communityrapporten — Källtråden visar att Tailscale installerades korrekt i ZimaOS, även om dess WebUI-länk inte fungerade som en vanlig appsida.

Information om ZimaOS Tailscale-appen som visades i den ursprungliga communitytråden från 2024 — Den användbara konfigurationen finns i Tailscale-containerns inställningar och autentiseringsflöde, snarare än i ett fristående webbgränssnitt.

Den ursprungliga community-lösningen: Använd TS_AUTHKEY

Det första svaret sade att App Store-paketet kunde fungera genom att skapa en autentiseringsnyckel för Tailscale och klistra in den i:

TS_AUTHKEY

Aktuell Tailscale-dokumentation definierar fortfarande TS_AUTHKEY som miljövariabeln som används för att autentisera en Docker-container till ett tailnet.

Aktuell referens: Konfigurationsparametrar för Tailscale Docker.

Generera nyckeln i Tailscales administratörskonsol och behandla den som en hemlighet. Publicera den inte i skärmbilder, foruminlägg, Git-repositorier eller delade Compose-filer.

En senare lösning från ZimaOS-communityn använde:

tailscale status

När noden ännu inte hade autentiserats returnerade Tailscale en inloggnings-URL. Användaren öppnade URL:en i en webbläsare och godkände enheten.

Beroende på vilken container och vilket skal som är installerat kan du behöva köra kommandot inuti Tailscale-containern i stället för direkt på ZimaOS-värden.

Identifiera först containern:

docker ps --format '{{.Names}}' | grep -i tailscale

Kör sedan vid behov:

docker exec -it TAILSCALE_CONTAINER tailscale status

Använd det faktiska containernamnet som visas av ditt system.

Spara Tailscale-tillståndet mellan omstarter

Den aktuella Tailscale-dokumentationen för Docker rekommenderar att du anger:

TS_STATE_DIR=/var/lib/tailscale

och monterar den katalogen på beständig lagring på värden. Utan beständigt tillstånd kan en omstartad eller återskapad container registreras som en ny nod i stället för att behålla sin tidigare identitet.

Tailscale tillhandahåller även:

TS_AUTH_ONCE=true

för distributioner som bara ska autentiseras när containern saknar befintligt tillstånd.

Vad en aktuell containerkonfiguration behöver

En minimal konceptuell Docker-konfiguration innehåller:

environment:
  - TS_AUTHKEY=DIN_HEMLIGA_NYCKEL
  - TS_STATE_DIR=/var/lib/tailscale
  - TS_AUTH_ONCE=true

volumes:
  - /DIN/ZIMAOS/PERSISTENTA/SÖKVÄG:/var/lib/tailscale

Den exakta värdsökvägen och de ytterligare nätverks-/enhetsinställningarna beror på definitionen av ZimaOS App Store. Ersätt inte en fungerande aktuell appdefinition med en gammal CasaOS-YAML enbart för att tråden från 2024 länkade till en CasaOS-handledning.

Att komma åt ZimaOS skiljer sig från att annonsera hela LAN-nätet

Det finns två vanliga mål:

Nå själva Tailscale-noden: anslut till ZimaOS/Tailscale-noden med dess Tailscale-adress eller MagicDNS-namn.
Nå andra enheter på ZimaOS-LAN: konfigurera noden som en Tailscale-subnätsrouter.

Det andra målet är mer komplext. Enligt den aktuella Tailscale-dokumentationen måste routern annonsera rutter, och dessa måste godkännas i administratörskonsolen.

Se Tailscales dokumentation om subnätsroutrar.

Subnätsroutning i en Docker-baserad Tailscale-app på ZimaOS kräver ytterligare inställningar

En communityrapport från ZimaOS från 2026 visade en Tailscale-container för Docker som anslöt framgångsrikt men inte kunde annonsera LAN-rutter. Den konfigurationen använde värdnätverk, privilegierat läge och /dev/net/tun, men subnätsrutterna visades fortfarande inte.

Detta är en viktig gränsdragning: en container som ansluter till ditt tailnet är inte automatiskt en fungerande subnätsrouter. Routning kräver kernel-/nätverksprivilegier, vidarebefordran, annonsering av rutter och administratörsgodkännande.

Om ditt enda mål är att få fjärråtkomst till själva ZimaOS ska du inte aktivera subnätsdirigering i onödan.

Tailscale kräver inte SMB-gäståtkomst

Communitysvaret från 2024 hävdade att delning av SMB-mappar krävde gästbehörigheter för att fungera genom Tailscale-tunneln. Det bör inte generaliseras till ett aktuellt krav från Tailscale.

Tailscale tillhandahåller nätverksanslutning. SMB-autentisering förblir ett separat behörighetslager i Samba/Windows/macOS. Ett korrekt konfigurerat namngivet SMB-konto kan fungera via Tailscale på samma sätt som via ett lokalt nätverk.

Gäståtkomst kan ha varit en tillfällig lösning för den specifika CasaOS-/ZimaOS-Samba-konfigurationen i den äldre diskussionen, men det är inte något som Tailscale i sig kräver.

Säkerhetsanteckningar

Använd en begränsad/återanvändbar eller tillfällig autentiseringsnyckel utifrån dina distributionsbehov.
Lägg inte autentiseringsnycklar i skärmbilder eller kodarkiv.
Spara tillståndet så att noden inte registreras på nytt upprepade gånger.
Använd Tailscale-ACL:er eller grants för att styra vilka tailnet-enheter som får nå ZimaOS-noden.
Exponera inte ZimaOS-instrumentpanelen direkt mot det offentliga internet bara för att fjärråtkomst krävs.

Checklista för Tailscale-konfiguration i ZimaOS

Installera det aktuella paketet från Tailscale App Store.
Förlita dig inte på appens webbgränssnittslänk som primär konfigurationsmetod.
Autentisera med TS_AUTHKEY eller Tailscales CLI-inloggnings-URL.
Spara /var/lib/tailscale med TS_STATE_DIR.
Kontrollera att noden visas i Tailscales administratörskonsol.
Kör tailscale status och bekräfta att noden är ansluten.
Testa åtkomsten till ZimaOS-noden innan du försöker konfigurera subnätsdirigering.
Om du behöver åtkomst till hela det lokala nätverket konfigurerar och godkänner du subnätsrutter separat.

Vanliga frågor om ZimaOS och Tailscale

Varför leder Tailscales webbgränssnittslänk tillbaka till ZimaOS?

Tailscales container konfigureras normalt via miljövariabler, autentisering och CLI-kommandon snarare än via ett konventionellt webbgränssnitt. Källtråden visade exakt denna förväxling.

Vad är TS_AUTHKEY?

Det är den Tailscale-Docker-miljövariabel som används för att autentisera containern till ditt tailnet.

Varför bör jag spara TS_STATE_DIR?

Beständigt tillstånd gör att containern kan behålla sin nodidentitet och autentisering efter omstarter eller återskapningar.

Behöver jag subnätsdirigering för att få fjärråtkomst till ZimaOS?

Nej. Subnätsdirigering behövs bara när Tailscale-noden ska dirigera trafik till andra enheter i det lokala nätverket som inte använder Tailscale.

Behöver SMB gästläge via Tailscale?

Nej, inte som en generell Tailscale-regel. SMB-kontoautentisering är separat från Tailscale-nätverk.