请教 Tailscale 的 InsecureForTests 的安全性

[liuzimin]

因为嫌国内域名备案麻烦，所以搭建 Tailscale 的 Derp 服务器时，我采用的 InsecureForTests=true 方式（就是网上教程教的免域名直接用 IP 方式搭建 Derp ），服务器开启了--verify-clients 。用了好久目前情绪稳定。

最近屡见很多 V 友用 FRP 被攻破的事情，突然让我警觉起来，反思自己用的 InsecureForTests=true 会存在什么风险吗？

[yqs112358]

@m1nm13 自建 derp 有现成的 docker 镜像直接能用 https://github.com/fredliang44/derper-docker

[liuzimin]

@yqs112358 哈哈老哥我看到你了： https://github.com/tailscale/tailscale/issues/3647

[blackguester]

@m1nm13 阿里云很容易搭呀，即便 docker 拉不了，先安个 tailscaled ，在国外 VPS 上弄个 exitnode ，一切就很舒心了

[liuzimin]

@yqs112358 域名好像还要搞一个自动续的证书？推荐用 acme.sh 吗？

[Byleth]

@SenLief #17 如果没有 verify clients ，别人知道了你的 DERP 地址，就能在控制平面上设置，然后别人的节点就白嫖这个 DERP 了

[Byleth]

@yqs112358 #19 2022 年说的，到现在还没移除

[SenLief]

@Byleth 这概率有点低啊，它还要知道端口啊我记得。