Access Controls 配置

这一页是最容易误操作的部分，先记住一句话：

只把下面的片段追加到你现有的 tailnet policy 中，不要整份覆盖。

目标

让带有 tag:relay-cn 的设备可以被当作 relay 使用，并且避免“relay 配好了，但成员之间普通 SSH/端口访问突然失效”的问题。

如果你当前 policy 里还没有 tagOwners，可以新增：

json

"tagOwners": {
  "tag:relay-cn": ["autogroup:admin"]
}

如果你已经有 tagOwners，就只把这一项加进去。

然后在 grants 里追加 relay 能力：

json

{
  "src": ["autogroup:member"],
  "dst": ["tag:relay-cn"],
  "app": {
    "tailscale.com/cap/relay": []
  }
}

仅有上面这一条还不够。

因为 tailscale.com/cap/relay 只是在授权：

它不等于普通网络层访问授权。

如果你的 tailnet 当前使用 grants，又没有别的网络层放行规则，那么很可能会出现：

所以建议同时补上普通成员之间的网络层授权。

最宽松、最省事的写法：

json

{
  "src": ["autogroup:member"],
  "dst": ["autogroup:member"],
  "ip": ["*"]
}

如果你只想先恢复 SSH，可以收紧成：

json

{
  "src": ["autogroup:member"],
  "dst": ["autogroup:member"],
  "ip": ["tcp:22"]
}

参考文件：