围绕零信任组网、设备身份、访问控制和私有网络边界的实践内容。
查看所有标签很多人第一次用组网工具，目标都很朴素：把家里、公司、云上的几台设备连起来，然后远程访问。但用着用着会发现，这种"远程访问"其实只发挥了一半的能力。
你连上了网络，可真正要用的时候，还得自己记住：NAS 的后台是哪个 IP、开发机的 SSH 端口是多少、那台 Windows 的远程桌面又在哪个地址。组网把链路打通了，可"有哪些服务、在哪里、怎么进"这些事，仍然压在用户脑子里。
云雀通想把这件事重新做一遍。我们不只想做一个"远程访问工具"，而是想做一个家庭网络应用中心：组网之后，App 自己去发现网络里的服务，用户只需要点开就能用。
在移动端做设备组网，系统 VPN 权限几乎是绕不开的话题。
无论是云雀通，还是 Tailscale，如果希望让手机上的所有应用都能访问一张私有网络，通常都需要创建系统级 VPN 隧道。这样做能力最完整：系统流量可以被接管，DNS、路由和应用访问都能统一进入同一张网络。但它也会带来一些现实阻力：用户需要理解并授权 VPN 配置，应用可能需要额外的系统能力，某些场景下还会和公司 VPN、校园网 VPN 或其它代理工具互相抢占系统入口。
那么有没有另一种路径：不申请系统 VPN 权限，也能把设备组网能力带到手机上？
答案是有的。关键在于 tsnet。
我最近申请了一台免费的甲骨文云服务器：4 核 CPU、24G 内存，作为开发服务器来说相当宽裕。它可以跑测试服务、构建任务、数据库实验环境，也可以在需要时临时承担一些生产辅助任务。
但只要这台机器要远程 SSH，一个经典问题就会立刻出现：要不要把 22 端口暴露到公网？
我的答案很明确：不要。
有时候，一个产品的起点，并不是宏大的蓝图，而是一件很小的事。
人在外面，忽然需要发布一段程序，修一个服务，或看一眼家里的机器。手边只有一只平板、一部手机，心里却惦记着那台安静放在桌角的电脑。若能像推开家门一样，轻轻连上它，该多好。
云雀通，就是从这样一个朴素的愿望里长出来的。