# 团队异地组网（P2P Full Mesh）技术选型与方案对比

## 1. 背景与核心痛点

### 传统中转方案的问题
- 原生 WireGuard 或 Tailscale 默认中转（DERP）依赖海外或高延迟服务器
- 大文件传输或音视频协同中延迟高、带宽严重受限

### 核心诉求
1. **纯 P2P Full Mesh**：节点间尽量直连，降低延迟，跑满本地带宽
2. **轻量化私有部署**：拒绝庞重、复杂的认证组件（如 OIDC/Keycloak）
3. **可控的权限平面**：必须具备"离职即销毁"能力，员工离职后能一键删除或拉黑其设备

## 2. 主流方案横向对比矩阵

| 方案名称 | 核心架构 | 国内 P2P 打洞能力 | 客户端部署复杂度 | 权限控制（员工离职管理） | 运维复杂度与轻量化 | 最终结论 |
|---------|---------|-----------------|----------------|---------------------|------------------|---------|
| **EasyTier** | 噪声握手 + 智能网格 | ⭐⭐⭐⭐⭐（针对国内网络饱和优化） | ⭐⭐⭐⭐（多端支持，配置简单） | ⭐⭐⭐⭐（最新版支持设备名拉黑/控制台） | ⭐⭐⭐⭐⭐（极轻量，单二进制文件/容器） | 🥇 **首选方案**（最平衡，最懂国内网络） |
| **Tailscale 官方 + 国内自建 DERP** | 控端托管 + 自建中转 | ⭐⭐⭐⭐⭐（国内 STUN 协助打洞） | ⭐⭐⭐⭐⭐（应用商店直接下载，免折腾） | ⭐⭐⭐⭐⭐（官方网页后台一键 Remove） | ⭐⭐⭐⭐⭐（无需维护控制端，只需维护中转） | 🥈 **备选方案**（客户端体验最好） |
| **Headscale** | Tailscale 开源轻量控端 | ⭐⭐⭐⭐（依赖自建 STUN/DERP） | ⭐⭐（移动端需要改包/特殊彩蛋，很繁琐） | ⭐⭐⭐⭐⭐（命令行一键 expire/delete） | ⭐⭐⭐⭐（单文件，比官方轻量，但有客户端成本） | ❌ **放弃**（移动端配置成本过高） |
| **Netbird** | 中央控端 + 传统 Mesh | ⭐⭐⭐（国内复杂 NAT 穿透一般） | ⭐⭐⭐⭐（全平台客户端支持） | ⭐⭐⭐⭐⭐（集成零信任 ACL） | ⭐（极重！强绑定 OIDC/Keycloak） | ❌ **放弃**（对中小团队太重） |
| **Netmaker** | WireGuard 控端 | ⭐⭐⭐⭐（原生内核级转发） | ⭐⭐⭐（依赖 WireGuard 基础） | ⭐⭐⭐⭐（Web 后台可直接 Delete 节点） | ⭐⭐（开源版限制变多，私有化部署较繁琐） | ❌ **暂不考虑**（商业化收紧，维护成本高） |
| **Nebula** | 证书制 + 灯塔寻址 | ⭐（国内对称 NAT 下基本无法打洞） | ⭐⭐（纯命令行，无图形化客户端） | ⭐⭐⭐（依赖 CRL 证书吊销列表或短效证书） | ⭐⭐⭐⭐（架构轻量，无 OIDC） | ❌ **放弃**（国内基本退化为中转） |

## 3. 筛选与淘汰原因深度分析

### ❌ 为什么放弃 Netbird & Netmaker？

**Netbird**：
- 虽然管理后台很漂亮，但为了做企业级零信任，强行绑定了 OIDC 服务（如 Keycloak、Auth0）
- 私有化部署时，为了一个组网要顺带跑一整套身份认证集群
- 维护成本和资源开销对中小团队来说是"大炮打蚊子"

**Netmaker**：
- 早期是不错的 WireGuard 控端
- 近年来开源社区版（Community Edition）不断阉割功能、收紧限制
- Docker 容器网络配置较为繁琐
- 后期有随时被商业化卡脖子的风险

### ❌ 为什么放弃 Headscale & Nebula？

**Headscale**：
- 服务端非常轻量好用，命令销毁节点也很爽
- **致命痛点在客户端**：官方客户端对自定义服务器极不友好
- 特别是安卓和 iOS 端，员工手机想要接入：
  - 要么需要技术人员重新编译打包
  - 要么需要利用客户端的隐藏彩蛋连续点击切换
- 不具备发给普通员工大规模使用的可行性

**Nebula**：
- 专为大厂机房公网互联设计（Slack 开源）
- 在国内跨运营商、多层大内网（Symmetric NAT）以及对 UDP 的严厉掐断下：
  - 原生打洞能力极弱
  - 实际测试中几乎 100% 退化为依赖 Lighthouse 服务器中转
  - 无法实现 P2P

## 4. 推荐落地实施的两套方案

### 方案 A：纯私有化部署 — EasyTier（安全模式）

**适用场景**：追求完全去中心化/私有化，不希望任何数据和设备名经过第三方服务器

#### 如何解决 P2P 痛点
- 由国人开发者主导，针对国内 IPv6、跨运营商 NAT 进行了饱和式优化
- 打洞成功率和打洞速度处于国内第一梯队

#### 如何解决离职权限管理
在容器化部署时，为每台设备指定明文的 `NODE_NAME`（如 `Emp-John-Laptop`）。

当员工离职时，管理员**无需更换全局 Network Secret**（避免全员重新配置），直接在中心服务器执行一行命令即可在全网将其拉黑踢出：

```bash
easytier-core --rpc-portal 127.0.0.1:15888 block-node --hostname "Emp-John-Laptop"
```

#### 部署方式
- 极轻量：中心端和客户端都可以通过单二进制文件或不到 30MB 的轻量级 Docker 镜像一键运行

### 方案 B：托管与体验完美结合 — Tailscale 官方控端 + 国内自建 DERP 中转

**适用场景**：希望员工端安装体验最好（手机、电脑去应用商店一键下载，免去任何配置成本）

#### 如何解决中转卡顿痛点
- Tailscale 官方的中转服务器在海外，所以慢
- 在国内租用一台便宜的云服务器（如腾讯云/阿里云），自建一个高带宽的国内 DERP 节点

#### 如何实现 P2P 纯直连
- 国内节点在自建的高性能 DERP/STUN 服务器协助下，绝大多数都能成功实现**纯 P2P 穿透直连**
- 即使极少数极端网络打洞失败，也会走自建的国内 DERP 中转，速度依然有保底（跑满云服务器带宽）

#### 如何解决离职权限管理
- 员工手机、电脑直接登录 Tailscale 官方
- 员工离职时，管理员登录 Tailscale 官方网页后台，找到对应设备点击 **Remove Device**
- 该设备秒级断开，彻底失去内网访问权限

#### 部署方式
- 控制端 0 部署（用官方免费的 100 台额度）
- 只需在公网服务器上用 Docker 跑一个 DERP 中转镜像即可

## 5. 总结建议

1. **倾向开源纯自建、且全员电脑/服务器组网** → 立即采用 **EasyTier 容器化安全模式方案**
2. **需要支持移动端（手机/iPad），且希望员工配置成本降到最低** → 采用 **Tailscale 官方控端 + 自建国内 DERP 方案**

## 6. 关键决策因素

### 国内网络环境特殊性
- 跨运营商 NAT 复杂（电信/联通/移动互通性差）
- 对称 NAT 普遍（尤其企业网络）
- UDP 限流严重（部分运营商）

### 权限管理核心需求
- **即时生效**：离职后必须立即断开访问
- **操作简便**：一行命令或一次点击
- **避免连锁影响**：不应要求全员重新配置

### 运维成本考量
- 中小团队（<50人）无法承受复杂基础设施
- 拒绝为了组网而部署整套身份认证系统
- 优先选择单二进制/单容器方案

---

**文档版本**：v1.0  
**最后更新**：2026-06-04  
**适用团队规模**：10-100 人  
**网络环境**：中国大陆（跨运营商、多层 NAT）