01 / 组网基础
加密隧道解决什么问题
WireGuard 为设备之间的网络流量提供加密隧道基础。它关注隧道中的安全通信，并不自动替你完成所有账号管理、设备分发或业务权限配置。理解这一分工后，就能区分数据如何受到保护，与谁可以使用某个资源这两个问题，避免把加密连接理解为完整的应用安全方案。
02 / 组网基础
Tailscale 增加身份与管理能力
在加密通信基础上，平台结合身份验证、设备发现、密钥协调、访问策略和连接建立，让不同网络中的设备更容易组成 Tailnet。用户不需要把每个设备的配置都手工复制给其他设备，但依然应维护身份提供商安全、设备更新和访问边界，尤其是共用设备及长期运行的服务器。
03 / 组网基础
优先尝试设备直接连接
直接连接时，设备之间通过可用的网络路径交换加密数据，不需要把业务流量固定送到某个中心 VPN 服务器。实际能否直连取决于双方网络、UDP 可用性与 NAT 条件。没有公网固定地址不代表一定无法连接，存在公网地址也不能保证任何环境都能直接通信。
04 / 组网基础
无法直连时的中继选择
若配置了可用的 Peer Relay，设备可以在直连不可用时借助该网络内的中继设备；否则可使用 DERP 转发加密数据。中继帮助解决可达性，通常增加额外路径，因此性能可能不同。看到中继标记并不等于明文传输，也不能据此断定设备已经受到攻击或账号发生泄露。
05 / 组网基础
控制协调与数据流量不同
设备发现、身份协调和策略分发属于管理与协调工作，业务数据的实际传输路径则取决于连接类型。理解控制平面与数据平面的区别，有助于排查登录失败和服务访问失败。能打开控制台不一定代表两台设备的应用端口可达，已有业务连接正常也不代表所有管理操作都正常。
06 / 组网基础
加密并不替代端点防护
流量在隧道中加密，仍然需要保护设备本身。如果目标应用配置错误、系统账号过度授权或设备被恶意程序控制，网络隧道不会自动修复这些问题。保留应用认证、系统更新与合理的日志管理，不要将“已经使用加密连接”当作可以公开管理后台或分享凭据的理由。
07 / 组网基础
按实际连接观察性能
使用设备状态与诊断工具确认当前路径，再结合上行带宽、无线质量、处理器负载和应用行为分析体验。不要用加密协议名称推导固定速度，也不要把一次测速当作所有设备的承诺。路径随网络切换可能变化，合理的对照测试应固定两端设备和资源，并记录测试时的网络条件。
官方参考资料
操作前请核对当前系统支持与功能条件。