遇到 Tailscale 开启双因素认证（2FA）后无法登录的情况，最稳妥的办法是使用开通时保存的恢复代码，或者由尾网管理员在后台关闭该用户的 2FA 设置。
核心结论：无法登录时不要反复尝试密码，优先寻找恢复代码或联系管理员介入。
- 确认登录方式：检查账户是通过身份提供商（如 Google）登录还是 Tailscale 邮箱登录，两者重置路径不同。
- 处理优先级：若有恢复代码直接使用，若无则需管理员在控制台禁用该用户 2FA。
- 后续验证：重置后重新登录并立即重新绑定新的认证设备。
场景一：你有恢复代码
在登录界面输入密码后，当提示输入 2FA 代码时，寻找"Use a recovery code"或类似链接。输入列表中未使用过的任意一个恢复代码即可进入。进入后建议立即生成新的恢复代码并下载。
注意：Tailscale 的恢复代码通常是一组代码（如 10 个一次性代码），而非单个固定位数的字符串。查找启用 2FA 时保存的文本文件或截图，确认代码列表。
场景二：你是管理员，但锁定了自己的账号或其他用户
- 使用另一位拥有管理员权限的账号登录 Tailscale Admin Console。
- 点击左侧菜单的"Users"。
- 找到无法登录的用户，点击其名称进入详情页。
- 找到"MFA"或"Two-factor authentication"开关，将其关闭。
- 通知该用户重新登录，此时不再需要 2FA 代码。
场景三：唯一管理员被锁定且无恢复代码
这种情况比较棘手。你需要访问 Tailscale 支持页面，提交账户恢复请求。通常需要提供注册邮箱、尾网名称以及可能的支付凭证来证明所有权。这个过程可能需要几个工作日。
验证重置结果
操作完成后，尝试在客户端或网页端重新登录。如果不再提示输入 2FA 验证码，或者使用新代码能成功进入控制台，说明重置成功。登录后，务必进入 Settings > Security 重新启用 2FA 并保存新的恢复代码。
注意事项
- 单点故障：整个尾网只有一个管理员账号，且该账号开启了 2FA 未备份代码。建议至少保留两个管理员账号以防万一。
- 身份提供商混淆：如果你使用 Google 或 Microsoft 登录，2FA 实际上是在 Google/Microsoft 侧管理的。重置需要去对应厂商的账户恢复流程，Tailscale 后台无法直接关闭这部分 2FA。
- 恢复代码一次性：部分系统规定恢复代码使用后即失效，登录后必须生成新代码，不要重复使用旧代码。
参考来源
- Tailscale 官方文档 - Two-factor authentication (2FA): https://tailscale.com/kb/1030/two-factor-auth/
原文链接：https://www.zjcp.cc/ask/11654.html