🔑 隧道已通：加 Orion 的公钥

公钥不是密码，可以放心贴；贴完告诉 Orion。

🚨 重启后能用一会就断网：先做这个

1. 重启后马上进终端，尽快运行（停掉 Tailscale，并看时间）：

告诉 Orion：date 显示的时间对不对（应该是 2026 年，北京时间）。

2. 如果还是会断，再停掉 Passwall2：

测试期间想让它重启后也不自动启动：

以后恢复 Passwall2：

3. 两个都停了还会断，就趁还没断网时保存日志（存在 /root，重启也不会丢）：

之后再查看，拍照发给 Orion：

🔐 远程控制新方案：Cloudflare Tunnel（从这里开始）

只装一个 cloudflared 程序，不改 Passwall2，不改防火墙。上面的 Tailscale 内容全部作废。

1. 看空间（/overlay 剩余要大于 40MB）和架构（要显示 aarch64）：

2. 先试软件源安装：

软件源没有的话，从官方 GitHub 下载（Passwall2 开着就能连上 GitHub）：

如果 /overlay 空间不够（mv 报错），把文件放到大分区（比如 /mnt 下的硬盘），再把第 3 步脚本里的 /usr/bin/cloudflared 换成那个路径。不要放 /tmp，重启会丢。

3. 创建开机自启脚本（整段复制）：

4. 启用并启动：

5. 检查，把输出拍给 John（看到 Registered tunnel connection 就成功了）：

6. 出问题时一键停掉并恢复原样：

注：脚本里的令牌只给这台路由器用，用完 John 会更换。

🛠 修复 Tailscale（NoState）

在 R66S 终端按顺序运行。要用 Tailscale 的话，下面节点部分第 1 步（停 Tailscale）就不要做了。

1. 修正时间并打开自动同步（最后显示的必须是 2026 年）：

2. 先看看现在的启动脚本：

换成 userspace 模式的脚本并重启（整段复制，状态文件保存在 /etc/tailscale）：

3. 重新登录（不要加 --ssh）。屏幕会打印一个登录链接，用手机打开登录：

4.（可选，第 3 步登录卡住或连不上再做）让 Tailscale 绕过代理直连。直连 IP 写入 Passwall2 的「直连 IP 列表」，域名写入「不代理域名」列表：

注意：国内直连 Tailscale 登录服务器可能不通。如果做了第 4 步反而登录不上，就把这些行从后台「Passwall2 → 规则管理」里删掉，再重启 Passwall2。

5. 检查，把输出拍给 Orion：

6. 不想用了就停掉：

🆕 节点 + 自动切换（第 1 步已停 Tailscale）

John 决定暂时不做远程控制。下面全部在 R66S 终端（SSH）里按顺序粘贴运行。下面所有旧的 Tailscale 内容都作废。

1. 停掉 Tailscale，取消开机自启，删掉 Tailscale 分流规则（没有也不报错）：

2. 先看一下 Xray 版本和现有节点，把输出拍给 John（Xray 需要 ≥ 24.9 才支持 XHTTP；Hy2 走 Xray 需要较新的 Xray，版本太老 Hy2 会测不通，但不影响其他节点）：

3. 加四个节点：GX-Reality、GX-Hy2、GX-XHTTP-IP、GX-Tunnel-IP（现有的 yZ0YH8x7 就是第五个 CF-WS 保底）。整段一起复制粘贴，可以重复运行：

4. 建自动切换组 GX-Auto（Xray 负载均衡 leastPing：每分钟测一次，自动用能通、最快的节点；全都不通时回到 yZ0YH8x7），并设为主节点：

5. 检查：第一行出现 HTTP/2 200 或 HTTP/1.1 200 就是通了，第二行是出口 IP。把输出拍给 John：

6. 如果不通或 Passwall2 起不来，马上一键回到原来的节点：

如果日志里报 hysteria 相关错误（Xray 太老），去掉 Hy2 再试：

后台「Passwall2 → 节点列表」里也能看到这几个节点，可以手动点“测试”。

✅ 找到原因：系统时间错误（2017 年）

时间修正仍然有用；第 4 步（Tailscale）已作废，不要做。

R66S 的系统时间停在 2017 年。时间不对，所有 HTTPS 证书都会被当成无效，所以 Tailscale 连不上、软件源报 SSL 错误。把时间改对就行。

1. 同步网络时间：

2. 确认时间已经对了：

同步失败时手动设置（北京时间，按实际时间改）：

3. 进后台「系统 → 系统」，打开 NTP 自动同步，以后就不会再错。

4. 重新启用并重启 Tailscale，把结果拍给 John：

⚠ R66S 断网恢复（旧，已作废）

1. 拔电源重启 R66S，等 1–2 分钟。

2. 一起来就用网线接 LAN 口，进后台终端或 SSH（地址不对就用平时的地址）：

马上停掉 Tailscale 并取消开机自启：

3. 如果之前加过 Tailscale 分流规则，可以删掉（没加过就跳过）：

4. 观察网络稳定后，运行下面命令，把输出拍给 John：

John Galactic

导入 v2rayN / Shadowrocket / v2rayNG 等客户端

Hiddify 地区选「其他」或全局模式，端口只用 443

当前状态（旧，已作废）

主节点 yZ0YH8x7 是 vless，不是 _shunt，所以「用终端添加 Tailscale 分流规则」第 3 步不要做。

Passwall2 配置没被改，断网与它无关。Tailscale 已登录，但 John 那边连不进来。

下一步：网络恢复后运行下面的诊断命令，把输出拍给 John：

如果 Tailscale 已经停了，下面这条可以跳过：

地址二（优选 IP，国内推荐）

地址一（域名）

R66S 接入 Tailscale（三步）

已作废：暂时不做远程控制

1. 在 Passwall2 加一条分流规则，名称 Tailscale，域名填下面三行，指向当前能用的节点（GX-Hy2 或 CDN）：

2. 进 R66S 终端（或 SSH）运行：

新系统没有 opkg 时改用：

iStoreOS 也可以在 iStore 应用商店搜 Tailscale 安装。

3. 依次运行：

屏幕会打印一个登录链接，把它发给 John 批准即可。

软件源为空时：手动安装

已作废：暂时不做远程控制

官方下载地址（版本 1.104.4，arm64）：https://pkgs.tailscale.com/stable/tailscale_1.104.4_arm64.tgz 。也可以从 GitHub 发布页找最新版：https://github.com/tailscale/tailscale/releases 。如果路由器下不动，先在电脑上下载好，再用 WinSCP 等工具传到 R66S 的 /tmp。

1. 先检查架构（要显示 aarch64）和剩余空间（两个文件解压后约 70MB，/tmp 和 /overlay 要够）：

2. 下载并解压（老版本 wget 可能不支持 HTTPS，就用 curl；都不行就用电脑下载后传上去）：

3. 复制到 /usr/sbin（如果 /overlay 空间不够，可改放到 /opt 等大分区，并把下面脚本里的路径一起改掉）：

4. 检查 tun（没有 /dev/net/tun 也能跑，脚本会自动改用 userspace 模式）：

5. 创建开机自启脚本并启动：

6. 登录，把屏幕打印的登录链接发给 John：

注：/tmp 重启后会清空，装好后可以删掉 /tmp 里的安装包。

用终端添加 Tailscale 分流规则

已作废：暂时不做远程控制

1. 先看现在的配置：

2. 看主节点是不是分流类型（最后一行显示 _shunt 才能用第 3 步）：

3. 添加规则，让 Tailscale 走分流节点的默认节点（也就是现在正在用的代理节点）。如果想指定别的节点，把 T=... 那行改成 T=节点ID，节点 ID 就是第 1 步输出里 passwall2.xxx=nodes 的 xxx：

4. 重启 Tailscale 并检查（netcheck 里能看到 DERP 延迟、status 里能看到其他设备就成功了）：

如果第 2 步显示的不是 _shunt（主节点直接是某个节点），说明所有流量本来就该走代理，问题可能在别处。请把第 1 步的完整输出发给 John，不要乱改。

说明：命令按 Passwall2 官方仓库的配置格式写（分流规则用 shunt_rules、分流节点上用“规则名=节点ID”）。不同版本可能略有差别，没有在这台 R66S 上实测过；如果重启后界面里的“分流”页能看到 Tailscale 规则，就说明写进去了。