操作指南 ← 返回管理面板

EasyTier 节点管理 — Web 操作指南

本文说明本管理面板的用途、推荐部署方式，以及如何填写各表单项、使用部署脚本与查看节点状态。面向运维与需要自助部署的同事。

一、本页面是做什么的

这是一个配置与脚本生成器：在浏览器里维护「虚拟网络名称、网络密钥、节点清单」，为每台机器生成一键部署的 Shell 脚本；脚本会安装 EasyTier、写入配置并注册 systemd 服务。它不是 EasyTier 核心进程本身，也不替代官方 GUI/Web，只是把常见部署步骤固化成表单和脚本。

二、建议谁部署、怎么访问

三、全局网络配置

网络名称 (ET_NETWORK_NAME) 与 网络密钥 (ET_NETWORK_SECRET)

二者共同决定「哪些节点属于同一虚拟网」。同一虚拟网内所有节点的名称与密钥必须一致才能互通。

EasyTier 版本

与 dist/ 目录中 zip 文件名里的版本对应；若界面提示与 dist 不一致，可按提示同步，避免脚本下载的安装包版本与填写不一致。

四、节点角色说明

角色作用概要
Relay（共享节点）公网可达的中继；需填写公网 IP/域名与监听端口；通常预先放入 dist/ 安装包供其他节点下载。
Admin管理侧节点；需虚拟 IPv4；可勾选多个 Relay；脚本中可带 RPC 端口供本机 easytier-cli 查询状态。
Developer开发机类节点；填写方式接近 Admin，虚拟 IP 勿与其他节点冲突。
Project Gateway项目网关：除虚拟 IP、Relay 外，必须填写 代理目标子网 (proxy_targets)，用于把虚拟网流量代理到指定内网网段或主机。

五、添加 / 编辑节点时各字段怎么填

通用

Relay 专属

Admin / Developer / Gateway 共用

Project Gateway：远程范围与代理目标怎么填

先选远程访问范围（面板单选）：

代理目标填的是：在网关 B 所在局域网里、你要从虚拟网访问的那台（或那段）设备的 IP，不是虚拟网里的 10.144.x.x。

场景填什么示例
只访问一台内网机 C该机在 B 侧 LAN 的 IPv4（可只写 IP，系统自动补 /32）172.21.101.208
访问多台指定内网机英文逗号分隔多个 IP172.21.101.49, 172.21.101.208
访问整段内网CIDR 网段（慎用）172.21.101.0/24

你填 172.21.101.208 表示：从虚拟网来的流量，由网关 B 转发到其局域网中地址为 172.21.101.208 的机器。请确认在 B 上能 ping 172.21.101.208。

若多个 Project 网关在同一虚拟网中配置了互相重叠的 CIDR，保存节点时面板会弹出提示。建议各现场使用不同私网段，或通过 ssh -J 明确经哪台网关再连内网。

为什么连网关是 10.144.0.5，连内网机却是 172.21.101.49？

EasyTier 里同时存在两层地址，用途不同，不要混用：

地址属于哪张网谁有这个地址你怎么连
10.144.0.5 EasyTier 虚拟网（全网唯一） 装了 EasyTier 的网关机 B 自己 ssh root@10.144.0.5 — 连的是 B 这台机器，不是 B 后面的 C
172.21.101.49 B 所在现场的局域网（各现场可重复） 没装 EasyTier 的内网机 C ssh user1@172.21.101.49 — 连的是 C；包经虚拟网到 B，再由 B子网代理转进 LAN

可以这样记：

若远程目标就是 B 本机（没有后面的 C），应选「仅本网关」，只使用 B 的虚拟 IP 10.144.0.5，不要把 10.144.0.5 填进代理目标。

A 省、B 省网关不同，但局域网里都是 172.21.101.49，怎么区分？

典型拓扑：

两台网关各自在面板填代理目标 172.21.101.49 没问题；但在你的 Admin 上若直接执行 ssh user@172.21.101.49，虚拟网可能不知道走 10.144.0.5 还是 10.144.0.6（路由歧义），可能连错省、连不上或时好时坏。

推荐做法（按优先级）

① 各现场用不同私网段（最佳）

例如 A 省用 172.21.101.0/24，B 省用 172.22.101.0/24。这样 172.21.101.49 与 172.22.101.49 在虚拟网内可区分，可直接：

ssh user@172.21.101.49   # A 省
ssh user@172.22.101.49   # B 省

② 无法改网段时：用 SSH 跳板，先锁定网关虚拟 IP

通过 -J 先连到某一省网关的 10.144 地址，再在该网关的 LAN 里访问 172.21.101.49：

# A 省（经 10.144.0.5 这台网关进内网）
ssh -J root@10.144.0.5 user1@172.21.101.49

# B 省（经 10.144.0.6 这台网关进内网）
ssh -J root@10.144.0.6 user1@172.21.101.49

Windows 目标同理：先 RDP 到 10.144.0.5 再在 B 上连内网，或使用支持 ProxyJump 的客户端；RDP 无统一跳板时可先 SSH 到 B 再在内网 RDP 到 172.21.101.49。

③ 配置 SSH 别名（避免记错）

# ~/.ssh/config
Host prov-a-inner
    HostName 172.21.101.49
    User user1
    ProxyJump root@10.144.0.5

Host prov-b-inner
    HostName 172.21.101.49
    User user1
    ProxyJump root@10.144.0.6

之后：

ssh prov-a-inner    # 一定走 A 省
ssh prov-b-inner    # 一定走 B 省

④ 只想连网关本身（不连内网 C）

ssh root@10.144.0.5    # A 省网关 B
ssh root@10.144.0.6    # B 省网关 B

这里不要用 172.21.101.49，除非你要连的是该网关 LAN 里的那台 C。

面板保存节点时若提示「与另一网关代理网段重叠」，即此类歧义风险；两省同 IP 时务必用跳板或改网段，不要依赖裸 ssh user@172.21.101.49。

填好代理目标后，如何从本机远程？

下面「本机」指已安装 EasyTier 并已加入同一虚拟网的机器，通常是面板里的 Admin 或 Developer 节点（下称 A）。Project 网关 Windows/Linux 下称 B；被代理的内网机下称 C。

前提（缺一不可）

  1. A 已入网：本机 EasyTier 在线，能 ping 通 Relay，且与 B 在同一 network_name / 密钥。
  2. B 已安装并在线：网关计划任务 / systemd 运行中，面板或 easytier-cli 能看到 B 的虚拟 IP（例：10.144.0.5）。
  3. 代理目标已保存：面板里 B 选「经本机访问局域网其它机器」，并填好 LAN IP；保存后重新部署 / 重启 B 上的 EasyTier 使配置生效。
  4. B 能直达目标：在 B 上 ping 172.21.101.208 通；目标机防火墙放行你要用的端口（SSH 22、RDP 3389 等）。

示例一：只远程一台 172.21.101.208

面板填写（Project Gateway 节点 B）：

在 A（本机）上连接——直接使用目标在 B 侧局域网里的 IP，不要写成 10.144.x.x：

# 1. 先确认虚拟网通
ping 10.144.0.5          # B 的虚拟 IP（以你面板登记为准）

# 2. 再测代理目标是否可达
ping 172.21.101.208

# 3. SSH（Linux 目标）
ssh 用户名@172.21.101.208

# 4. 传文件
scp ./本地文件 用户名@172.21.101.208:/tmp/

若目标是 Windows，在 A 上用远程桌面连 172.21.101.208:3389（mstsc 里填该 IP 即可）。

流量路径：A → 虚拟网 → Relay → B（网关）→ 172.21.101.208。你在 A 上输入的是 C 的 LAN 地址，EasyTier 会把包经 B 转过去。

示例二：同时远程 172.21.101.49 和 172.21.101.208

面板填写（同一 Project Gateway B 上，一条里写两个 IP，英文逗号分隔）：

172.21.101.49, 172.21.101.208

保存后系统会自动规范为 172.21.101.49/32,172.21.101.208/32。部署 / 重启 B 后，两台都会经 B 代理。

在 A（本机）上分别连接——哪台目标就用哪个 IP，互不干扰：

ping 172.21.101.49
ping 172.21.101.208

ssh user1@172.21.101.49
ssh user2@172.21.101.208

不需要为第二台单独再建一个网关节点；一个 B + 一条逗号分隔的代理列表即可覆盖多台 C/D/E，只要它们都在 B 的同一局域网且 B 能访问。

建议自检顺序（连不上时）

  1. A 上 ping <B 的虚拟 IP> — 不通则先查 A/B 是否都在线、密钥是否一致。
  2. B 上 ping 172.21.101.208 — 不通则是 B 与 C 之间的局域网问题，与 EasyTier 无关。
  3. A 上 ping 172.21.101.208 — B 通而 A 不通，查 B 的代理配置是否已重启生效、ACL 是否允许 A 访问。
  4. 再测具体服务：ssh / mstsc / 业务端口。

多个现场网段相同时（进阶）

两省 LAN 里都是 172.21.101.49 时，不能只靠裸 ssh user@172.21.101.49 区分，必须用跳板或不同网段。完整说明见 「A 省、B 省同 IP 怎么区分」。

ssh -J root@10.144.0.5 user1@172.21.101.49   # 指定 A 省网关
ssh -J root@10.144.0.6 user1@172.21.101.49   # 指定 B 省网关

六、安装与卸载

Linux（systemd）

Windows 项目网关（计划任务）

七、部署脚本怎么用（摘要）

  1. 在节点列表中点击「部署脚本」，复制或下载 .sh 文件。
  2. 在目标机器上以 root 执行：sudo bash deploy-<节点ID>.sh。
  3. Relay：通常从本机 dist/ 解压安装；其他角色：默认从面板 HTTP 下载 zip（若脚本同目录或 dist/ 子目录已有同名 zip，会优先用本地文件）。
  4. 完成后用 systemctl status … 查看服务；日志可用 journalctl -u … -f。

八、节点状态与刷新

九、远程访问（SSH / scp / RDP）概要

Project 网关代理场景的逐步示例（含 172.21.101.208、多台 IP 填写方式）见上文 「填好代理目标后，如何从本机远程？」。

1. 连 EasyTier 节点本机（Admin / Relay / 网关 B 自身）

在虚拟网内为每台节点分配了唯一的虚拟 IPv4（如 10.144.0.x，以面板登记为准）。从已加入同一虚拟网的另一台机器上，应优先使用：

ssh 用户名@10.144.0.x

虚拟 IP 在整张网内不重复，可避免与「各现场局域网里常见的 192.168.1.x」混淆。

2. 连 Project 网关背后的内网机器（未装 EasyTier）

前提是网关上已正确配置 proxy_targets，且路由已打通。在 Admin（或其它虚拟网成员）上，可直接使用目标在其现场局域网中的 IP：

ping 192.168.50.22
ssh 用户名@192.168.50.22
scp 本地文件 用户名@192.168.50.22:/tmp/

流量路径一般为：本机 → 虚拟网 → Project 网关 → 现场局域网 → 目标机。

3. 多个现场都使用相同私网段（例如都是 192.168.1.0/24）时

若仅靠虚拟网自动下发的路由，可能出现「到 192.168.1.10 不知走哪个网关」的歧义。此时请使用 SSH 跳板，先用网关的虚拟 IP 锁定「从哪条出口进内网」：

ssh -J 跳板用户@10.144.0.GW 目标用户@192.168.1.10

其中 10.144.0.GW 是某一台 Project 网关在虚拟网中的地址；内网 IP 在该网关所在局域网内解析。换一台网关的虚拟 IP 即对应另一现场。

建议在 ~/.ssh/config 里为不同现场配置不同 Host 别名，避免手打错地址。

4. 与「裸写 192.168.x.x」的区别

在未连虚拟网、未走网关的电脑上，192.168.x.x 通常只指向你当前所在局域网；要访问远端现场，必须先具备到达该现场的通道（EasyTier、VPN、专线等）。

十、常见问题：peer 列表里的 p2p、tcp 是什么意思

easytier-cli peer list 展示的是执行该命令的那台机器的视角：当前节点到表格里每一个「对端」的连接情况，不是「只对部署管理面板的那一台 Relay 的连线表」。

十一、安全与运维建议

文档版本随面板功能更新；若与界面不一致，以当前界面提示为准。