TYO Reach 与 Tailscale 对比
这两款产品常被拿来比较，但其实并不直接竞争。Tailscale 在自有设备之间构建私有网格。Reach 则控制流量在公共互联网上的呈现方式。以下是理解两者区别的最清晰视角。
解决两个完全不同的问题
Tailscale — 连接自有设备
Tailscale 在自有设备之间创建私有的 WireGuard 网格。非常适合从办公室访问家庭服务器，或让团队成员在不开放防火墙端口的情况下访问内部工具。互联网无法看到 Tailscale 流量 — 它始终保持在网格内部。
TYO Reach — 控制互联网出口
Reach 在应用与公共网络之间部署网关。流量从固定位置（澳大利亚、香港、新加坡或不断扩展的网络中的其他区域）出口，因此外部服务看到的是网关 IP，而非真实 IP。它用于控制在外部世界面前的呈现方式 — 而非用于连接自有设备。
横向比较
| Feature | TYO Reach | Tailscale |
|---|---|---|
| 静态出口 IP（以单一 IP 呈现）Tailscale：存在出口节点，但默认不提供专用静态 IP | 是 | 部分 |
| 地理位置解锁（亚太网关网络）Tailscale 的出口节点是自有设备，而非托管的网关区域 | 是 | 否 |
| 针对互联网网关的按应用路由 | 是 | 否 |
| 私密连接自有设备Reach 不构建设备到设备的隧道 | 否 | 是 |
| 远程访问内部局域网资源Reach ZTNA 正在开发中；Tailscale 目前已具备此功能 | 即将推出 | 是 |
| 个人按流量计量套餐Tailscale 个人版免费且不限流量 — 模式不同 | 是 | 否 |
| 具备中央策略的团队网关Tailscale ACL 控制网格访问；Reach 控制互联网出口 | 是 | 部分 |
| 登录时 MFA | 是 | 是 |
| 澳大利亚托管的身份验证Tailscale 是一家美国公司，托管在美国基础设施上 | 是 | 否 |
| 适用于受管机器（无内核驱动）Tailscale 会安装 WireGuard 内核模块 | 是 | 否 |
| 免费层级 | 是（个人版 2 GB） | 是（个人/小型团队不限流量） |
| 定价 | 个人版免费起；团队版按席位收费 | 个人版免费；企业版 $18/用户/月 |
如何选择
选择 Reach，如果…
您需要团队在公共互联网上以一致的 IP 地址呈现 — 用于 SaaS 防火墙规则、地理限制服务或受控出口。如果使用的是受管机器且无法安装内核模块，Reach 也是理想之选。
选择 Tailscale，如果…
您需要跨越互联网访问自有设备或自托管服务，而无需开放防火墙端口 — 例如家庭 NAS、开发服务器或内部 Web 应用。Tailscale 专为私有设备网格而构建；在该用例中无可替代。
两者都用，如果…
团队既需要访问内部资源（Tailscale），又需要为外部 SaaS 工具提供一致的公共出口 IP（Reach）。它们在不同层级运行，互不冲突。
Tailscale 能取代我对静态出口 IP 的需求吗？
不容易。Tailscale 的出口节点允许通过自有设备路由流量，但该设备会获得由其 ISP 分配的动态 IP。对于可以加入 AWS 安全组或 Salesforce IP 允许名单的可靠静态 IP，您需要像 Reach 这样具备稳定、固定出站地址的专用网关。
Reach 能实现 Tailscale 出口节点的功能吗？
有部分重叠，但目标不同。Tailscale 出口节点将所有流量通过网格中的设备路由。Reach 将选定的流量通过特定区域的托管网关路由。Reach 更适合需要可预测的企业级出口的团队；如果在目标位置已经拥有设备，Tailscale 出口节点则更合适。
Reach 未来会支持像 Tailscale 那样的入站访问吗？
是的 — ZTNA 入站访问（允许授权团队成员从外部访问局域网内的服务，无需更改防火墙）已列入路线图。目前尚未发布。