Linux on XEDCZQ的博客

通过 Tailscale 连接服务器：解决校园网无法 SSH 的问题

Thu, 16 Jul 2026 10:00:00 +0800

通过 Tailscale 连接服务器：解决校园网无法 SSH 的问题

这篇记录一个很实用的问题：在校园网环境下，直接 SSH 连接云服务器可能失败，但服务器本身并没有坏，SSH 配置也没有问题。

常见现象是：

在家里、手机热点、公司网络下可以正常 SSH
换到校园网后，ssh user@server-ip 连接超时
云服务器安全组、端口、密钥都检查过，依然连不上
网站可能能打开，但 SSH 的 22 端口就是不稳定

这种情况下，可以用 Tailscale 把本地电脑和服务器放进同一个私有网络。之后 SSH 不再走服务器公网 IP，而是走 Tailscale 分配的内网 IP 或设备名。

文中所有 IP、用户名、密钥路径都使用占位符，不包含真实服务器信息。

一、为什么校园网会影响 SSH

SSH 默认使用 22 端口。部分校园网、公共网络或企业网络可能会对出站端口做限制。

可能的表现包括：

直接阻断 22 端口
对长连接不友好
NAT 或防火墙策略导致连接不稳定
某些云服务器 IP 段访问质量较差

这时即使服务器本身是正常的，本地也可能连不上：

ssh your-user@your-server-public-ip

可能会卡住，最后报：

Operation timed out

或者：

Connection timed out

Tailscale 的思路是：让你的本地电脑和云服务器加入同一个 tailnet，形成一个基于 WireGuard 的私有网络。之后你连接的是 Tailscale 网络里的地址，而不是直接访问公网 SSH 入口。

二、整体方案

最终目标是这样的：

本地电脑 -- Tailscale 私有网络 -- 云服务器

连接方式从：

ssh -i ~/.ssh/your-key your-user@your-server-public-ip

变成：

ssh -i ~/.ssh/your-key your-user@your-server-tailscale-ip

或者更方便：

ssh your-server

这里的 your-server 是自己在 ~/.ssh/config 中配置的别名。

三、准备条件

你需要准备：

项目	示例占位符	说明
本地电脑	Mac / Windows / Linux	安装 Tailscale 客户端
云服务器	Linux 服务器	安装 Tailscale 服务端客户端
Tailscale 账号	GitHub / Google / Microsoft 等	用同一个账号登录
SSH 用户	`your-user`	例如普通用户或 `root`
SSH 私钥	`~/.ssh/your-key`	如果使用密钥登录

官方文档：

四、在本地电脑安装 Tailscale

Mac

可以从官网下载并安装：

https://tailscale.com/download

安装完成后，登录自己的 Tailscale 账号。

也可以用 Homebrew：

brew install --cask tailscale

然后打开 Tailscale App 登录。

Windows

从官网下载 Windows 安装包：

https://tailscale.com/download

安装后登录同一个 Tailscale 账号。

Linux 本地电脑

Linux 可以使用官方安装脚本：

curl -fsSL https://tailscale.com/install.sh | sh

然后登录：

sudo tailscale up

浏览器会打开认证页面，登录后这台电脑就加入 tailnet 了。

五、在云服务器安装 Tailscale

先通过能连接服务器的网络进入服务器。例如：

手机热点
家里网络
云厂商网页控制台
云服务器的 VNC / Web Shell

进入服务器后安装 Tailscale：

curl -fsSL https://tailscale.com/install.sh | sh

启动并登录：

sudo tailscale up

终端会输出一个登录链接。复制链接到浏览器，使用和本地电脑相同的 Tailscale 账号登录。

登录完成后，服务器也会加入同一个 tailnet。

六、查看 Tailscale IP

在服务器上执行：

tailscale ip -4

会输出一个类似下面的地址：

100.x.y.z

这个 100.x.y.z 就是服务器在 Tailscale 私有网络里的 IP。

在本地电脑也可以查看当前 tailnet 里的设备：

tailscale status

你会看到类似：

100.x.y.z your-server your-account linux
100.a.b.c your-laptop your-account macOS

只要两台设备都在列表里，就说明它们已经在同一个 Tailscale 网络中了。

七、通过 Tailscale IP 连接服务器

现在不要再用公网 IP 连接，而是改用 Tailscale IP：

ssh -i ~/.ssh/your-key your-user@100.x.y.z

如果你的服务器 SSH 端口不是 22，需要加 -p：

ssh -i ~/.ssh/your-key -p your-ssh-port your-user@100.x.y.z

连接成功后，说明 SSH 已经绕过校园网对公网 SSH 的限制，改走 Tailscale 私有网络了。

八、使用 MagicDNS：用设备名代替 IP

Tailscale 支持 MagicDNS。开启后，可以直接用设备名连接，不用记 100.x.y.z。

例如服务器设备名是 your-server，可以尝试：

ssh -i ~/.ssh/your-key your-user@your-server

如果设备名冲突或解析失败，可以回到 Tailscale 管理后台查看设备名称。

MagicDNS 的好处是：

不用记 Tailscale IP
服务器 Tailscale IP 变化时影响更小
命令更短，更适合日常使用

九、配置 SSH Config，让连接更短

推荐把连接信息写进本地 ~/.ssh/config。

打开文件：

nano ~/.ssh/config

加入：

Host your-server
 HostName 100.x.y.z
 User your-user
 Port 22
 IdentityFile ~/.ssh/your-key
 ServerAliveInterval 60
 ServerAliveCountMax 3

保存后，连接命令变成：

ssh your-server

如果你启用了 MagicDNS，也可以把 HostName 写成设备名：

Host your-server
 HostName your-server
 User your-user
 Port 22
 IdentityFile ~/.ssh/your-key
 ServerAliveInterval 60
 ServerAliveCountMax 3

不过我更喜欢第一种：Host 用短别名，HostName 写明确的 Tailscale IP。这样排查问题时更直观。

十、在 Codex 中使用

配置好 SSH 别名后，Codex 里可以直接让它执行：

ssh your-server "pwd"

查看服务器目录：

ssh your-server "ls -lah"

查看磁盘：

ssh your-server "df -h"

查看内存：

ssh your-server "free -h"

查看服务状态：

ssh your-server "systemctl status nginx"

这样 Codex 不需要知道你的公网 IP，只需要知道本地 SSH 别名即可。

十一、普通 SSH over Tailscale 和 Tailscale SSH 的区别

这里容易混淆，简单区分一下。

普通 SSH over Tailscale

命令类似：

ssh -i ~/.ssh/your-key your-user@100.x.y.z

特点：

仍然使用服务器上的 OpenSSH
仍然使用原来的 Linux 用户和 SSH 密钥
只是网络路径从公网变成了 Tailscale 私有网络
对个人服务器来说最直观，也最容易理解

Tailscale SSH

Tailscale 也提供自己的 SSH 能力，可以让 Tailscale 接管 tailnet 内的 SSH 认证与授权。

服务器上可以启用：

sudo tailscale set --ssh

然后配合 Tailscale 管理后台的访问控制规则使用。

它的好处是可以把 SSH 权限和 Tailscale 身份绑定起来，适合多人团队、统一权限管理、减少手动维护 SSH key 的场景。

如果只是自己连接自己的服务器，我更建议先用“普通 SSH over Tailscale”。它和传统 SSH 习惯一致，排查也简单。

十二、建议的安全设置

不要公开真实信息

公开教程里不要写：

真实公网 IP
真实 Tailscale IP
真实用户名
真实私钥路径
服务器密码
私钥内容
.env 里的生产配置

用占位符就够：

your-server-public-ip
100.x.y.z
your-user
~/.ssh/your-key

尽量使用密钥登录

比起密码登录，更推荐 SSH key。

私钥权限建议设置为：

chmod 600 ~/.ssh/your-key

保留公网 SSH 的最小暴露

如果已经能稳定通过 Tailscale 连接服务器，可以考虑收紧云服务器安全组。

例如：

公网 SSH 只允许自己的固定 IP
或者关闭公网 SSH，仅通过 Tailscale 访问

这个操作要谨慎。关闭公网 SSH 前，一定要确认 Tailscale 可以稳定连接，否则容易把自己锁在服务器外面。

十三、常见问题排查

tailscale status 看不到服务器

检查服务器是否已经登录：

tailscale status

如果没有登录，重新执行：

sudo tailscale up

本地能看到服务器，但 SSH 失败

先测试网络：

ping 100.x.y.z

再测试 SSH：

ssh -v your-user@100.x.y.z

-v 会输出详细日志，方便判断是网络问题、密钥问题还是用户名问题。

Permission denied

通常是 SSH 认证问题，而不是 Tailscale 网络问题。

重点检查：

用户名是否正确
私钥路径是否正确
私钥权限是否为 600
服务器上是否有对应公钥

连接超时

如果连接 Tailscale IP 也超时，检查：

本地 Tailscale 是否在线
服务器 Tailscale 是否在线
两台设备是否在同一个 Tailscale 账号或 tailnet 中
服务器防火墙是否限制了来自 tailscale0 网卡的 SSH

可以在服务器上查看 SSH 是否监听：

sudo ss -tulnp | grep ':22'

十四、完整推荐流程

我的推荐流程是：

先用能连服务器的网络登录服务器
服务器安装 Tailscale
本地电脑安装 Tailscale
两台设备登录同一个 Tailscale 账号
在服务器执行 tailscale ip -4 获取 100.x.y.z
本地用 ssh your-user@100.x.y.z 测试连接
写入 ~/.ssh/config
以后直接 ssh your-server
在 Codex 中使用 ssh your-server "命令" 做远程控制

到这一步，校园网能不能直连云服务器公网 SSH，就没那么重要了。因为真正使用的是 Tailscale 私有网络。

十五、命令速查

命令	含义
`curl -fsSL https://tailscale.com/install.sh \| sh`	Linux 安装 Tailscale
`sudo tailscale up`	登录并加入 tailnet
`tailscale status`	查看当前 tailnet 设备状态
`tailscale ip -4`	查看本机 Tailscale IPv4 地址
`ssh your-user@100.x.y.z`	通过 Tailscale IP 连接服务器
`ssh -i ~/.ssh/your-key your-user@100.x.y.z`	使用私钥通过 Tailscale 连接
`ssh -v your-server`	输出 SSH 调试日志
`ssh your-server "df -h"`	远程查看服务器磁盘
`sudo tailscale set --ssh`	启用 Tailscale SSH

十六、总结

校园网无法 SSH 时，不一定是服务器配置错了，也可能是网络环境对端口或长连接不友好。

Tailscale 的价值在于：它给本地电脑和服务器建立了一个稳定的私有网络。之后我们不再依赖公网 SSH 链路，而是通过 100.x.y.z 这类 Tailscale 地址连接服务器。

对个人开发者来说，最舒服的组合是：

Tailscale IP + SSH key + ~/.ssh/config + Codex

配置完成后，连接服务器会变得很轻：

ssh your-server

然后 Codex 也可以基于这个别名帮你做远程排查、部署和记录整理。

Codex SSH 便捷连接服务器与远程控制教程

Wed, 15 Jul 2026 10:00:00 +0800

Codex SSH 便捷连接服务器与远程控制教程

这篇记录的是我在本地 Codex 中连接云服务器的通用流程。目标是：不用每次都手动输入一大串 SSH 命令，也尽量不暴露服务器敏感信息。

文中的 IP、用户名、密钥路径全部使用占位符，实际使用时替换成自己的信息即可。

一、准备工作

先确认自己手里有下面几类信息：

信息	示例占位符	说明
服务器 IP	`your-server-ip`	云服务器公网 IP
SSH 用户名	`your-user`	常见是 `root` 或自建用户
SSH 端口	`22`	默认是 22，如果改过就填实际端口
私钥路径	`~/.ssh/your-key`	本地私钥文件路径
服务器目录	`/data/www/your-site`	可选，比如网站部署目录

注意：不要把真实 IP、服务器密码、私钥内容写到公开博客、公开仓库或截图里。

二、最基础的 SSH 连接命令

如果使用私钥连接服务器，基础命令是：

ssh -i ~/.ssh/your-key -p 22 your-user@your-server-ip

含义：

ssh：发起 SSH 远程连接
-i ~/.ssh/your-key：指定本地私钥文件
-p 22：指定 SSH 端口
your-user@your-server-ip：用哪个用户连接哪台服务器

如果服务器使用默认 22 端口，也可以省略 -p 22：

ssh -i ~/.ssh/your-key your-user@your-server-ip

第一次连接时，终端可能会提示是否信任服务器指纹，确认 IP 无误后输入：

yes

连接成功后，命令行会进入服务器环境。

三、检查私钥权限

SSH 对私钥权限比较严格。如果权限太开放，可能会拒绝连接。

可以执行：

chmod 600 ~/.ssh/your-key

含义：只允许当前用户读写这个私钥文件。

如果 .ssh 目录权限异常，也可以执行：

chmod 700 ~/.ssh

含义：只允许当前用户访问 .ssh 目录。

四、推荐方式：配置 SSH 别名

每次输入完整命令比较麻烦，更推荐写进 ~/.ssh/config。

打开配置文件：

nano ~/.ssh/config

加入下面内容：

Host my-server
 HostName your-server-ip
 User your-user
 Port 22
 IdentityFile ~/.ssh/your-key
 ServerAliveInterval 60
 ServerAliveCountMax 3

字段含义：

Host my-server：本地连接别名，之后直接用 my-server 连接
HostName your-server-ip：真实服务器 IP
User your-user：登录用户名
Port 22：SSH 端口
IdentityFile ~/.ssh/your-key：私钥路径
ServerAliveInterval 60：每 60 秒发送一次保活包
ServerAliveCountMax 3：连续 3 次无响应后断开

保存后连接服务器就变成：

ssh my-server

这就是最方便的方式。以后在 Codex 里也可以直接让它执行：

ssh my-server

五、用 Codex 辅助连接服务器

在 Codex 中，可以把连接命令当作普通终端命令执行。

例如直接说：

帮我连接 my-server，看一下 nginx 状态

Codex 可以执行类似命令：

ssh my-server "systemctl status nginx"

这里的关键点是：远程命令可以直接放在 SSH 后面的引号中。

例如：

ssh my-server "pwd"

含义：连接服务器后执行 pwd，查看当前目录。

ssh my-server "ls -lah /data/www/your-site"

含义：查看服务器上某个网站目录。

ssh my-server "df -h"

含义：查看服务器磁盘空间。

ssh my-server "free -h"

含义：查看服务器内存使用情况。

六、常用远程检查命令

查看系统信息

ssh my-server "uname -a"

查看系统内核和基础信息。

ssh my-server "uptime"

查看服务器运行时间和负载。

查看磁盘和内存

ssh my-server "df -h"

查看磁盘空间。

ssh my-server "free -h"

查看内存使用情况。

查看端口监听

ssh my-server "ss -tulnp"

查看当前服务器开放和监听的端口。

如果只想看 80 和 443：

ssh my-server "ss -tulnp | grep -E ':80|:443'"

查看 Nginx 状态

ssh my-server "systemctl status nginx"

查看 Nginx 服务状态。

ssh my-server "nginx -t"

检查 Nginx 配置是否正确。

ssh my-server "systemctl reload nginx"

重载 Nginx 配置。

七、用 rsync 上传文件

如果要把本地构建好的静态网站上传到服务器，常见方式是 rsync。

示例：

rsync -az --delete -e "ssh" ./public/ my-server:/data/www/your-site/

含义：

rsync：同步文件
-a：归档模式，保留文件属性
-z：传输时压缩
--delete：删除服务器上本地已经不存在的文件
-e "ssh"：通过 SSH 传输
./public/：本地待上传目录
my-server:/data/www/your-site/：服务器目标目录

注意：--delete 很有用，但也要谨慎。目标目录写错时，可能会删除不该删的远程文件。

八、用部署脚本进一步简化

如果一个项目经常需要发布，可以把构建和上传写成脚本。

例如：

./scripts/deploy.sh ./scripts/deploy.env

通常部署脚本会做几件事：

构建本地项目
检查 SSH 配置
创建远程目录
用 rsync 上传文件
输出部署结果

环境变量文件可以写成这样：

DEPLOY_HOST=your-server-ip
DEPLOY_USER=your-user
DEPLOY_PORT=22
SSH_KEY=/Users/your-name/.ssh/your-key
DEPLOY_PATH=/data/www/your-site
LOCAL_PUBLIC_DIR=public

如果这个文件会提交到公开仓库，不建议写真实服务器信息。可以只提交 deploy.env.example，真实的 deploy.env 放在本地并加入 .gitignore。

九、让 Codex 更安全地帮你远程操作

让 Codex 执行远程命令时，建议遵循几个原则。

先查状态，再做修改

比如先执行：

ssh my-server "systemctl status nginx"

确认状态后，再决定是否重启：

ssh my-server "systemctl restart nginx"

谨慎执行删除命令

远程服务器上的删除操作要格外小心，尤其是：

rm -rf

执行前应该确认当前目录和目标路径：

ssh my-server "pwd && ls -lah"

不要在公开内容中暴露敏感信息

不要公开：

真实服务器 IP
服务器密码
私钥内容
数据库密码
云厂商 AccessKey
.env 里的真实生产配置

写教程时可以使用：

your-server-ip
your-user
your-key
your-site

这些占位符足够说明流程，也不会暴露真实环境。

十、常见问题排查

Permission denied

可能原因：

用户名写错
私钥路径写错
私钥权限不正确
服务器没有配置对应公钥

可以先检查：

ls -lah ~/.ssh/your-key
chmod 600 ~/.ssh/your-key

Connection refused

可能原因：

SSH 服务没有启动
端口写错
安全组没有开放 SSH 端口
服务器防火墙拦截

可以从云服务器控制台检查安全组和防火墙配置。

Operation timed out

可能原因：

服务器 IP 不通
本地网络异常
云服务器安全组未放行
服务器已经关机

可以先尝试：

ping your-server-ip

如果禁用了 ping，也可以直接测试 SSH：

ssh -v my-server

-v 会输出更详细的连接日志，方便排查问题。

十一、我的推荐流程

日常使用时，我更推荐这个流程：

本地生成或准备 SSH 私钥
把公钥配置到服务器
在 ~/.ssh/config 中配置服务器别名
本地用 ssh my-server 测试连接
在 Codex 中让它通过 ssh my-server "命令" 执行远程检查
对重复操作写部署脚本或维护脚本
公开笔记只写占位符，不写真实服务器信息

这样做的好处是：连接命令短，远程操作清晰，迁移到新电脑时也容易恢复。

十二、命令速查

命令	含义
`ssh -i ~/.ssh/your-key your-user@your-server-ip`	使用私钥连接服务器
`ssh my-server`	使用 SSH Config 别名连接服务器
`ssh my-server "pwd"`	在服务器上执行单条命令
`ssh my-server "df -h"`	查看服务器磁盘空间
`ssh my-server "free -h"`	查看服务器内存
`ssh my-server "systemctl status nginx"`	查看 Nginx 状态
`ssh my-server "nginx -t"`	检查 Nginx 配置
`ssh -v my-server`	输出详细 SSH 连接日志
`rsync -az --delete ./public/ my-server:/data/www/your-site/`	同步本地静态文件到服务器

把 SSH 连接配置好之后，Codex 就可以像一个本地终端助手一样，帮你查看服务器状态、分析报错、执行部署和整理操作记录。真正要注意的是边界：公开内容用占位符，真实密钥和生产配置只留在本地。