求解，为什么部署的 tailscale 的 derp 服务，部署前几天还能用，后面就连不上了

[kemf]

整过好几次了，部署的前几天能用，过了几天客户端里就提示连不上 derp 服务器。

但是直接 url 进入是没问题的

DERP This is a Tailscale DERP server.

It provides STUN, interactive connectivity establishment, and relaying of end-to-end >encrypted traffic for Tailscale clients.

Documentation:

用手机看 url 提示 ssl 错误

logs: 2025/12/15 21:25:43 http: TLS handshake error from 117.143.47.114:2423: write tcp 172.17.0.2:443->117.143.47.114:2423: write: connection reset by peer

但是证书是肯定没过期的，很奇怪为什么说 tls 有问题

服务器是腾讯云，derp 是容器部署用的是[ngc7331/docker-derper]( https://github.com/ngc7331/docker-derper)

[patrickyoung]

用域名但是没备案？

[kemf]

@patrickyoung 是没备案 之前用的阿里云的服务器备案过后面也是连不上了，阿里倒是会强制跳转备案页面。藤子云这个没搞明白，在问他们售后了

[gunner168]

不如用 wireguard ，我之前用 Derp 也是开始能用，后来就死活连不上 derp

[kemf]

@gunner168 可以的话想麻烦您指条明路 谢谢

[kemf]

跟藤子问了一圈 他们说他们的服务没问题 难搞

问了 gemini ，说还是藤子的问题，让我再追问


以下是 gemini:
我们的核心诊断证据如下（请再次核查）：

tcpdump 证实连接被强制中断：服务器主机上的流量捕获显示，客户端（如 PC ）成功完成 TCP 三次握手后，在 TLS 握手阶段，客户端主动发送了 RST (Reset) 包终止连接。

RST 发生的时机：这表明客户端在发送 Client Hello 后收到了某些异常数据（或没有收到预期数据），导致其 TLS 库认为握手失败而主动断开。

全局性和定向性：这种故障具有全局性（多台 PC 、移动端）和间歇性（ PC 刷新就好），强烈指向腾讯云边缘网络或安全产品对 TLS 流量的 DPI (深度包检测) 误判。

[jayeli]

我用的这个 ghcr.io/yangchuansheng/ip_derper

[hash]

自己源码编译的 derp 二进制文件,IP:port 形式在腾讯云跑了 1,2 年了没问题.

[hash]

@hash 如果不是非要自建 headscale,那么放弃自建 derp,改用 peer relay 也可以

[yinmin]

在腾讯云上使用 tls ，域名必须先备案，不备案 tls 端口会被阻断的。

[mbooyn]

容器的 derp 会死，定期重启容器试试

[qwq11]

https://tailscale.com/kb/1118/custom-derp-servers
*必须*能够通过 ICMP 、HTTP 、HTTPS 、STUN. 对应端口是 80 、443 、3478 。HTTPS 和 STUN 端口能改，80 不能变

[IDAEngine]

自编译的 derp 没问题，用了几年了，derp 用的 IP 直连，自建 IP 证书

[sujin190]

@kemf #2 直接被掐不就是阿里云腾讯云发现你没正确备案防火墙给你掐了呗，域名备案了但是阿里云还是跳转备案页，那是你没在阿里云上做域名备案吧，域名备案是绑定着云服务商或机房的，更换需要程序在对应的云服务商备案

[IDAEngine]

"RegionID": 888,
"RegionCode": "AliyunSZ",
"RegionName": "AliyunSZ",
"Nodes": [
{
"Name": "AliyunSZ001",
"RegionID": 888,
"DERPPort": 1443,
"HostName": "x.x.x.x",
"IPv4": "x.x.x.x",
"IPv6": "X.X.X.X.X.X.X",
"STUNPort": 3478,
"CertName": "sha256-raw:XXXXXXXXXXXXXXXXX",
"InsecureForTests": true,
},
],

[patrickyoung]

@qwq11 不是的，除了 3478 外可以变，然后可以只用 IP ，配 policy 就能用自建 derp

[bootvue]

443 80 端口不备案不行 要么开个香港的节点

[AkinoKaedeChan]

@qwq11 那个 80 端口是用来做 Captive Portals Check 的, DerpMap 里面有个参数可以禁用，具体看代码。

[issakchill]

用官方的服务体验也不错

[zealotxxxx]

其实不需要备案也可以玩的。只是说走 ip 不走域名

之前韩风有视频，按着操作来就行

[haukuen]

https://github.com/haukuen/derper

纯 ip 也可以自建中继