VPS 收口公网之后：先确认手机还能 SSH，再关防火墙

这几天很多人在忙补丁：PHP 升包、Brotli 传递依赖、重建镜像再重启。今天这篇不是那条线的换皮，也不是「云区挂了去连异地跳板」——主线换成：公网收口之后，管理面怎么还留在口袋里。

据 Pieter Levels：I recommend taking your VPS off the public internet with Tailscale and Cloudflare Tunnel（2026-10-23，文内自报约 16 万浏览）：站点侧走 Cloudflare Tunnel（免费档默认带 WAF，机器本身不再应答 80/443）；管理侧进 Tailscale 私网；再在云厂商防火墙上清空入站。隧道是出站建的，不是再给公网开洞。他自己也写明：更安全，不是完美，没有什么是完美的。

X 上 10-24～25 仍在讨论同一件事：关公网 22 之前，先让手机和笔记本在 Tailscale 上 peer online，并真实 SSH 试通——别把自己锁在门外。

关了公网 22，人不在电脑前怎么办

收口听起来很干净，痛点通常在下一秒：

• 通勤、饭局、出差——还要查服务是否还活着、Tunnel / Tailscale 是否还在线
• 公网 22 已经关掉，没有电脑 ≈ 没有控制台（除非去点云厂商 Web Console）
• 配置改在笔记本上，手机里还是旧主机列表——临时翻密码本，窗口已经空过去了

所以动作顺序很重要：先验证「私网管理面从手机也能进」，再关公网入站。 不是先锁死，再指望哪天回家开电脑补救。

收口前先用手机把私网通一下

下面按「同网 → 私网试 SSH → 再关入站 → 日常救急」写。厂商面板名称、防火墙入口以你的 VPS 商为准；命令是常见环境示意。

① 机器与手机都进同一 Tailscale

• VPS 上装好 Tailscale 客户端并登录到你的 tailnet
• 手机装官方 App，用同一账号加入；确认两边在 peer 列表里都是 online
• 记下 VPS 的 100.x.x.x（或 MagicDNS 主机名）——这是之后 SSH 的目标，不是公网 IP

② 用 OrcaTerm 连私网地址试 SSH

我给自己留的入口是微信搜 OrcaTerm：小程序即开即用，主机列表和登录配置与 PC / Web 云端同步——把 100.x 主机提前加好，别等关防火墙那天才录入。

连上之后先做一件事：用私网地址真正登进去。通了，再往下一步；不通，先排查 Tailscale 状态，不要急着清空入站。

③ 通过后再关公网入站

Levels 的做法是：新建（或改）云防火墙规则，清空入站，测一下公网端口确实不再应答。站点流量走 Cloudflare Tunnel，管理流量走 Tailscale。顺序反过来——先关再试——很容易把自己锁在门外。

④ 日常救急：说人话查连通与健康

人不在工位时，用说人话让 AI 把巡检命令写出来并在终端回显，例如：

• tailscale status：这台机 peer 是否 online、有没有 Unexpected
• 关键服务 / 容器是不是还在跑
• Cloudflare Tunnel 对应进程或服务最近有没有退出
• 本机监听端口是否还在预期集合里（只读确认）

需要把一段 tailscale status 或服务日志丢回值班群时，可以在小程序里把文件取下来再经微信转出去。

边界说清楚：Tailscale + Tunnel 缩小的是暴露面，不是「绝对安全 / 零风险」。OrcaTerm 缩短的是「人不在电脑前也能进私网管理面」的空窗；它不是 WAF，也不能代替你把防火墙规则配对、把 Tunnel 维护好。密钥、ACL、设备丢失后的吊销，仍要按你自己的习惯来。

收束：先通私网，再关公网

可以收成三句：

1. 线不同——补丁季讲的是升包 / 重建；GCP 事故讲的是异地跳板救急；今天是 收口公网 + 私网管理面，关防火墙前先用手机验证。
2. 顺序别反——机器与手机同进 Tailscale → 连 100.x 试 SSH → 通了再清空公网入站。
3. 入口要在口袋里——配置云同步、小程序即开；救急时说人话查 tailscale status 和服务健康，比「等回家开电脑」短一个数量级。

一手源：Levels · VPS + Tailscale + Cloudflare Tunnel（2026-10-23）

微信搜「OrcaTerm」，官网：https://orcaterm.com/

来源

• Pieter Levels · VPS + Tailscale + Cloudflare Tunnel