執行摘要

這套遠端控制只有兩個核心責任：Tailscale 負責安全送達，Orca 負責抵達後能看什麼、控制什麼。理解這條邊界後，VPN、IP、Port 與配對憑證就不再是零散設定。

四個核心結論

• VPN 是建立在既有 Internet 上的加密私人網路，不會取代 Wi-Fi、5G 或路由器。
• Tailscale IP 指向 tailnet 裡的裝置，Port 指向該裝置內的服務。
• 完整安全性有兩道門：Tailscale 裝置身份，以及 Orca Mobile 配對憑證。
• 本次已在 5G 跨網情境驗證 DERP fallback、Direct 與 Orca 6768 可達。

全貌：每一層只做一件事

手機要控制 Mac 上的 Agent，必須同時具備網路路徑與應用授權。Tailscale 不認識 Workspace，Orca 也不負責穿越 Internet。

兩道安全門

只有 Tailscale、沒有 Orca 配對，手機可能找得到 Mac，仍不能操作 Orca。只有 Orca 配對、沒有可用網路路徑，手機有憑證，卻到不了 Mac。

VPN 是疊在 Internet 上的私人網路

Tailscale 不會取代家用路由器。它利用 Wi-Fi、5G、路由器與 Internet 作為外層承載，再建立一層只有已授權裝置能使用的 overlay network。

沒有 Tailscale 時

iPhone → 5G / Wi-Fi → Internet → 家用路由器 → Mac

外部裝置通常無法直接主動連進家中 Mac。傳統做法可能需要固定公網 IP、動態 DNS、Router Port Forwarding、防火牆、VPN Server 與 TLS 憑證。

使用 Tailscale 後

外層：iPhone → 5G / Wi-Fi → Internet → 路由器 → Mac
內層：100.96.255.26 ═══ 加密通道 ═══ 100.67.153.105

Tailscale 為已授權裝置建立身份，並提供 tailnet 內的 100.x.x.x 私人位址。使用者不必追蹤 Mac 此刻位於哪一個 Wi-Fi，也不必把 Orca 公開到一般 Internet。

IP 找裝置，Port 找程式

100.67.153.105 指向本次 Mac，6768 指向 Mac 裡的 Orca 服務。Port 並不是開「給 Tailscale」使用。

外袋與內袋

外袋：iPhone 當前 5G／Wi-Fi 位址 → Mac 當前網路端點

內袋：100.96.255.26 → 100.67.153.105:6768
內容：「請 Codex 檢查這個專案」

換網路時，外袋的真實端點與路徑會改。內袋的 Tailscale 來源與目的地址通常保持不變。內袋承載的 Orca 指令則會隨每次操作改變，加密後的資料也不會固定。

先建立私人網路，再安裝控制介面

兩部裝置都必須加入同一個 tailnet。只在 Mac 安裝 Tailscale 不足以讓 iPhone 使用私人地址連入。

Mac 安裝 Tailscale

1. 從 Tailscale 官方下載並安裝 macOS Standalone App。
2. 允許 macOS 建立 Tailscale Network Extension／VPN 設定。
3. 登入 Tailscale 帳號，讓 Mac 加入 tailnet。
4. 確認狀態為 Connected／Running。
5. 開啟 Allow incoming connections。
6. 建議開啟 Launch Tailscale at login，避免重開機後失去遠端能力。

iPhone 安裝 Tailscale

1. 從 App Store 安裝 Tailscale。
2. 允許 iOS 新增 Tailscale VPN 設定。
3. 登入與 Mac 相同的 Tailscale 帳號／tailnet。
4. 開啟 Tailscale，確認兩端都顯示在線。

網路可達，不等於已獲得 Orca 操作權

Tailscale 讓 iPhone 安全抵達 Mac，Orca Mobile 配對再建立應用層授權。完整可用需要兩者同時成功。

Mac 端

1. 安裝並開啟 Orca Desktop，確認本機 Workspace 與 Agent 正常。
2. 按 ⌘ + , 開啟 Orca Settings。
3. 使用左側 Mobile 頁面產生 QR Code 或 Access Link。
4. 配對資料等同密碼，不公開貼到網站或群組。

iPhone 端

1. 安裝 Orca Mobile，保持 Tailscale Connected。
2. 在 Orca Mobile 選 Pair，掃描 QR Code 或使用 Access Link。
3. 確認能看到 Workspace，再傳送一條無害測試訊息。

本次實測

52927 是手機當次連線使用的臨時來源 Port，之後可能不同。HTTP 200 只證明端點存在，仍須實際看到 Workspace 並傳送訊息，才能完成應用層驗收。

換道路時，私人身份通常不變

出國、換 Wi-Fi、SIM、eSIM 或電信商，通常只改變外層網路地址。只要裝置身份仍註冊在同一個 tailnet，Tailscale IP、Orca Port 與配對關係通常維持。

Direct 與 DERP

Direct：iPhone ═══════════════════ Mac
DERP：  iPhone ═══ DERP Relay ═══ Mac

Tailscale 優先嘗試點對點 Direct。若 NAT 或防火牆無法穿透，便由 DERP 中繼加密封包。兩者差異在路徑與延遲，不在是否端對端加密。本次跨網測試曾先走 DERP(hkg)，之後升級為 5G Direct，這只是當時的選路結果。

Tailscale IP 何時可能改變

• 管理後台移除裝置，之後重新加入。
• 重設或重新安裝後，被視為新裝置。
• 磁碟清除，裝置金鑰遺失。
• 換成另一部手機或 Mac，或改登入另一個 tailnet。
• 管理員手動重新分配裝置地址。

只保留完成目標所需的設定

功能越多不代表系統越好。本次目標只是讓 iPhone 安全連回 Mac 上的 Orca，因此 Subnet、Exit Node 與公網 Port Forwarding 都不在必要路徑。

必要

選配但實用

目前不需要

由底層往上排查，不要一開始就重裝

先證明 Internet 可用，再證明 Tailscale 路徑、Orca 入口與配對資格。每一步都有獨立的通過條件。

Mac 驗證命令

tailscale status
tailscale ping 100.96.255.26
curl -I http://100.67.153.105:6768
curl -I http://127.0.0.1:6768

前兩個命令驗證 tailnet 與路徑。Tailscale IP 的 HTTP 回應驗證遠端入口可達，localhost 回應驗證本機 Orca。HTTP 成功仍不等於應用權限成功，最後必須由 Orca Mobile 實際查看 Workspace 並送出訊息。

本次 WARP 衝突

WARP 啟用時，Tailscale 登入停在 Not connected，健康訊息顯示 control plane 連線沒有 IPv6 路由。中斷 WARP 後 Tailscale 進入 Running，因此 VPN／DNS／路由衝突是本次最可能原因，不代表所有環境都一定相同。

跨網路最終驗收

1. Mac 開機、未休眠，Orca Desktop 與 Tailscale 持續執行。
2. iPhone 關閉 Wi-Fi，改用 4G／5G，Tailscale 顯示 Connected。
3. 執行 tailscale ping，Direct 或 DERP 皆可接受。
4. 開啟 Orca Mobile，確認 Workspace 可見。
5. 向 Agent 傳送無害測試訊息，確認 Mac 端收到並回應。

附錄：實測、詞彙與檢查表

A. 本次實測紀錄

下列數值只屬於本次裝置，不應複製為其他人的固定設定。

B. 詞彙表

VPN：在既有 Internet 上建立受保護的私人通訊層。

tailnet：由同一個 Tailscale 組織或帳號管理的私人裝置網路。

Overlay Network：建立在 Wi-Fi、5G、路由器與 Internet 上方的邏輯網路。

NAT Traversal：讓位於 NAT 後方的裝置嘗試建立直接路徑。

Direct：兩端直接交換端對端加密封包。

DERP：Direct 不可用時，協助中繼加密封包的 Tailscale 服務。

MagicDNS：讓 tailnet 裝置可以名稱尋址，不必只記私人 IP。

Exit Node：讓一般 Internet 流量經某部 Tailscale 裝置送出，本次不使用。

Subnet Router：替傳統區域網路提供路由，本次不使用。

localhost／127.0.0.1：只代表裝置自己。

C. 一頁式檢查清單

• Mac 與 iPhone 都安裝 Tailscale，並登入同一個 tailnet。
• 兩端都顯示 Connected，Mac 允許 incoming connections。
• Mac 上 Orca Desktop 正在執行，iPhone 已安裝 Orca Mobile。
• 已在 Orca 的 Mobile 流程完成配對，Workspace 可見。
• 已用 4G／5G 做跨網測試，測試訊息成功送到 Agent。
• Mac 不會在遠端使用期間自動進入斷網休眠。

D. 官方來源

• Tailscale：Install on macOS
• Tailscale：Install on iOS
• Tailscale：Device connectivity
• Tailscale：IP and DNS addresses
• Tailscale：Interoperability
• Orca：Mobile companion
• Orca：Remote Orca Servers