Tailscale 上放了 VPS？先做这 6 件事

V2EX 网友 tab16360 因为 CVE-2026-98432（Linux 内核 TCP 握手 UAF，CVSS 9.8，Ubuntu 修复截至 11-03 尚未推送）连夜把管理端口全收进了 Tailscale，然后意识到一个新风险：VPS 如果被入侵，攻击者可以顺着同一个 Tailnet 横向访问家里 Mac、NAS 和其他服务器。他给出了 6 条隔离措施。

1. 给 VPS 单独打 tag:vps，与个人设备分组区分。
2. 用 ACL/Grants 收紧访问范围，默认拒绝。
3. 清理全开放规则。权限是累加的，一条宽泛规则可架空精细限制。
4. 不给 VPS 配 Exit Node 和 Subnet Router，不让它承担转发职责。
5. SSH、数据库、管理面板的公网端口全部关闭，只留必要公网服务。
6. 定期检查设备列表、授权密钥与节点状态。

Tailscale 的默认安全模型是全互联，靠 ACL 而不是网络边界来控制谁能访问谁。把 VPS 和家庭设备放同一个 tailnet 却不设 ACL，等于把内网门禁拆了。这 6 条的核心思想是：VPS 是暴露面最大的节点，它是攻击者的跳板，不是你的自己人。

来源：V2EX t/1254297（第一手，2026-11-04）；CVE-2026-98432 公开记录。