不露端口、拒绝云服务！用 Tailscale 零隐患远程控制你的 HomeAssistant 智能家居

用户12547393

发布于 2026-07-08 15:29:50

⚠️ 合规提示：本文介绍的智能家居远程访问方案仅适用于个人/家庭物联网设备的远程安全管理、控制与数据同步。所有通信均在加密的虚拟局域网（Tailnet）内部流转，完全不涉及任何形式的公共网络端口暴露，且严禁使用相关网络节点提供跨境代理等违规出口流量路由。

对于折腾智能家居的朋友来说，HomeAssistant (HA)绝对是终极归宿。它不仅能打破小米、华为、苹果等各大阵营的壁垒，实现跨平台联动，还能将家里的摄像头、智能门锁、人体传感器统一管理。

然而，当我们在外工作或出差时，如何安全地远程控制家里的设备，就成了一个非常令人头疼的问题： 1.端口映射的隐患：许多人通过公网 IP 和端口转发（把 HA 的 8123 端口暴露到公网）来实现外网访问。这等于在互联网上给黑客留了一扇大门，黑客极易通过扫描软件和历史安全漏洞侵入你的系统，控制你家的摄像头和门锁，隐私荡然无存。 2.官方云服务的门槛：官方提供的 Nabu Casa 远程访问不仅需要按月订阅付费（每月约 6.5 美元），且国内连接延迟较高。

今天老周就教大家如何利用Tailscale，在不暴露任何端口、不花一分钱的前提下，搭建一条专属的军工级加密通道，实现外网无缝、安全的远程控制你的 HomeAssistant！

🛠️ 核心思路：让 HomeAssistant 作为节点接入 Tailnet

我们只需要让运行 HomeAssistant 的宿主机（如 HAOS、树莓派或 Docker）作为节点加入你的 Tailscale 局域网，手机在外面开启 Tailscale 后，就能像在家里一样直接通过内网加密 IP 访问 http://homeassistant:8123。

📌 第一步：在 HomeAssistant 中安装 Tailscale 插件

如果你的 HomeAssistant 是使用HAOS (Home Assistant Operating System)部署的，安装过程就和安装普通 App 一样简单。

登录你的 HomeAssistant 后台。

导航至配置 (Settings) > 加载项 (Add-ons)。

点击右下角的“加载项商店 (Add-on Store)”。

在右上角搜索框中输入Tailscale，点击进入插件页面，并选择“安装 (Install)”。

安装完成后，勾选“开机自启 (Start on boot)”和“在侧边栏显示 (Show in sidebar)”，然后点击“启动 (Start)”。

📌 第二步：完成 Tailscale 账户授权绑定

启动插件后，点击插件页面的“打开 Web UI (Open Web UI)”。

页面会弹出一个 Tailscale 的认证链接，点击该链接。

登录你的 Tailscale 账号，并点击Authorize授予 HomeAssistant 接入你的局域网。

绑定成功后，在 Tailscale 管理控制台的 Machines 列表中，你会看到一个名为 homeassistant 的新设备，并获得它的专属内网虚拟 IP（如 100.x.x.x）。

📌 第三步：配置手机 App 端的无缝切换

为了让手机上的 HomeAssistant 官方 App 做到“在家里直接连路由器，在外网自动走 Tailscale 加密通道”，我们需要在 App 内进行双地址配置：

手机连接家里的 Wi-Fi，打开 HomeAssistant App。

进入 App 的设置 (Settings) > 配套 App (Companion App)，找到你当前连接的服务器。

配置“内部 URL (Internal URL)”：填入你家里的局域网 IP（例如 http://192.168.31.100:8123），并指定家里的 Wi-Fi SSID。这样当手机连上家里 Wi-Fi 时，App 会直接秒连，不经过任何虚拟网卡。

配置“外部 URL (External URL)”：填入你的 Tailscale 设备虚拟 IP 或 MagicDNS 域名： text http://homeassistant.your-tailnet.ts.net:8123

体验效果

：当你出门在外，手机连上 5G 网络并开启 Tailscale 后，打开 App 就会自动无缝切换到外部 URL，实现零延迟操控家中的灯光和监控。

🛡️ 进阶安全防线：使用 ACL 隔离智能家居网络

HomeAssistant 涉及到家里的摄像头和门锁，安全防御级别必须是最高的。如果你的 Tailscale 网络里还有公司的电脑、云服务器或其他开发节点，你绝对不希望这些节点能够随意访问你家的智能家居。

我们可以通过配置 Tailscale 的ACL 策略，将 HomeAssistant 物理隔离，只允许你和家人的手机访问：

为 HomeAssistant 设备打上专门的标签，并配置如下 ACL 规则：

{ "acls": [ // 仅允许管理员和家人分组的设备，访问贴了 tag:smart-home 标签的 HomeAssistant 的 8123 端口 { "action": "accept", "src": ["group:family", "autogroup:admin"], "dst": ["tag:smart-home:8123"] } ] }

通过这一层 ACL 规则，哪怕你 Tailscale 网络里的其他云服务器被黑客入侵，黑客也绝对无法通过你的虚拟局域网横向渗透到你家里的 HomeAssistant，从而实现了真正的“零信任”网络防护。